Die Kennwörter aller interner und externer Cúram-Benutzer werden im Digest-Format in den Cúram-Datenbanktabellen "Users" und "ExternalUsers" gespeichert. Wenn das Cúram-JAAS-Anmeldemodul das Kennwort empfängt, wird das Kennwort mittels Digest verschlüsselt und dann an die Anmelde-Bean gesendet. Diese Verschlüsselung mittels Digest ist eine Ein-Weg-Verschlüsselung, um die Sicherheit des Kennworts sicherzustellen. Das für den Benutzer in der Datenbank gespeicherte Kennwort wird mithilfe desselben Digest-Algorithmus verschlüsselt, der Ihren Verschlüsselungseigenschaften unterliegt, wodurch sichergestellt wird, dass die verschlüsselten Kennwörter erfolgreich miteinander verglichen werden können, aber sicher bleiben.
Benutzer, die extern verwaltet werden, z. B. über LDAP mit einer Konfiguration für die ausschließliche Authentifizierung nach Identität, unterliegen dem oben genannten Prozess nicht. Bei der Authentifizierung gegen ein Drittanbietersystem (z. B. LDAP oder ein SSO-Server), bei der die Cúram-Anwendung die vom Benutzer eingegebenen Berechtigungsnachweise für das Drittanbietersystem übergeben muss, kann die angepasste Implementierung von curam.util.security.PublicAccessUser verwendet werden, da auf die Berechtigungsnachweise mit Klartext-Kennwort zugegriffen werden kann.