client            server
form--pass-->md5->保存
cookie<-----hmac_md5(pass_md5,ip)

照合時
cookie-hashed_pass->if(hashed_pass==hmac_md5(saved_pass,ip))