Можно ли не использовать капчу при авторизации и регистрации?
Любые данные завязанные на сторону клиента (сессии, куки и т.д.), не защитят никак от перебора паролей.
Самый простой вариант, это записывать ip и кол-во неудачных попыток, дальше при превышении либо делать паузу между попытками (попробуйте через 5 минут), либо показывать каптчу (т.е. не сразу, а после 5 неудачных попыток).
ну при авторизации еще ладно, но вы то еще и регистрацию имеете в виду.
без капчи куча ботов там будет