Это каким образом, извините?

На этапе 4 пользователь пароль еще не ввел, следовательно он никак не может проверяться.

Отсюда вопрос: как его брутить?