Las contraseñas de todos los usuarios de Cúram internos y externos se almacenan en formato resumen en las tablas de base de datos Users y ExternalUsers de Cúram. Cuando el módulo de inicio de sesión JAAS de Cúram recibe la contraseña, se crea un resumen de la misma antes de enviarla al bean de inicio de sesión para su comparación. La creación de un resumen es un proceso unidireccional que garantiza la seguridad de la contraseña. La contraseña almacenada para el usuario en la base de datos utiliza el mismo algoritmo de creación de resúmenes, que está controlado por los valores criptográficos, por lo que se garantiza que las contraseñas encriptadas se puedan comparar satisfactoriamente las unas con las otras sin dejar de estar protegidas.
Los usuarios gestionados externamente como, por ejemplo, vía LDAP estando Cúram configurado con solo identidad, no están sujetos al proceso anterior. Cuando se autentica contra un sistema de terceros (p.ej. LDAP o un servidor de SSO) y la aplicación de Cúram necesita pasar las credenciales especificadas por el usuario al sistema de terceros, puede utilizarse la implementación personalizada de curam.util.security.PublicAccessUser, ya que permitirá acceder a las credenciales con una contraseña en claro.