Ну да, строго говоря, ни одна приличная система не хранит у себя пароли, и даже не знает их. Она хранит хеш, то есть предположительно одностороннее преобразование пароля в уникальную строку(но здесь есть засада, в случае если хеш-функция плохая, есть программы вычисления по хэшу пароля). Если пользователь забывает пароль, его просто сбрасывают, то есть генерируют временный.