A profi weboldalak hogy azonosítják a felhasználót?

Autodidakta módon tanulok programozni, mindig csak azt, amire épp szükségem van, úgyhogy a tudásom hiányos lehet.

PHP-val első találkozásom az volt, amikor egy nagyon buta beléptetőrendszer működését tanulmányoztam korábbi C-ismereteimre alapozva, ami meg nem volt tiszta, annak utánanéztem. (azóta már dolgoztam PHP-val, szóval már jóval széleskörűbbek az ismereteim)

Az a bizonyos beléptetőrendszer egy txt-ben tárolt asszociatív tömbből olvasta ki a felhasználónevet és a titkosítatlan jelszót, és úgy ahol voltak eltárolta őket a "username" és a "password" sütikben. Na, abban biztos vagyok, hogy a nagyok nem így csinálják.:D

Az odáig tiszta sor, hogy a felhasználói adatok egy adatbázisban kapnak helyet, de, hogy az oldal milyen módon jegyzi meg, ha be vagyunk lépve, arról max tippelni tudok.

Azon agyaltam, hogy ha a sütiben tárolt adatokban csupán a felhasználói adatok a változók (és kizárólag sütik segítségével történik az azonosítás), akkor lopott sütikkel bárki bármikor bárhonnan beléphet.

Akkor az elméletem:

Gyanítom, hogy az általam említett példával szemben csak egy sütit használnak, ami nem is feltétlen áll kapcsolatban a felhasználó adataival, ellenben valami viszonylag hosszú egyszeri kódot tárol (algoritmus természetesen garantálja, hogy ugyanazt a kódot kétszer ne lehessen létrehozni), amit kilépéskor a szerver "elfelejt", így nem lehet vele újból belépni. Mindemellett gondolom, hogy az oldal arról is kap adatot, hogy pontosan milyen eszközről lépnek be.

Ennél jobb megoldást a jelenlegi ismereteimmel nem tudok elképzelni. Van esetleg mégis?

Ezen felül érdekelne még pár dolog, ami ide kapcsolódik:

1. Ha SHA-256-ot használok a jelszó kódolásához, az önmagában elégséges?

2. Hogyan titkosítják a kliens és szerver közötti kommunikációt? (ez most elsősorban a jelszó küldése miatt érdekel)