"4) С. ищет в своей базе пользователей информацию о том, логин которого соответствует переданному со стороны клиента. Если такового нет в базе, выводится сообщение об ошибке. Процесс авторизации завершается.
В противоположном случае проверяется правильность введенного кода картинки." - баг в твоих размышлениях) возможен брут-паролей.