Можно и замутить куки, вставив в них хэш и id юзера, а можно и расшифровать и получить пароль в чистом виде.