Как минимум, пароли. Я делаю так: вход (имя, пароль), если ОК, генерируется уник. случайный код, и по нему можно работать с соотв. имени статусом(код передается с каждой формой, живет без обновления несколько минут). ИМХО классика. Пока хватало. Имена и пароли можно шифровать. И т.п. На каждый ресурс -- свой доступ (т.е. имя, пароль и статус).
