+1 к защите пароля методом тройного хеширования. Бред?
Скорее всего, вы пытаетесь переизобрести SRP.
Ну, если подумать имея рандомный ключ и имея хэш с этим ключем особо ничего не сделать. Это только если этот ключ будет меняться. По сути вытащить пароль не выйдет и исполовать хэш тоже не выйдет. Но только учтите что делать придется так, юзер вводит пароль он хэшируется, потом вместе с ключем. то есть
md5(md5(password)+1234) (синтаксис схожий с js)
 Все это дело отправляется на сервак, там мы имеем захэшированный пароль и ключ (храним в сессии например) и делать надо что то вроде
SELECT id FROM users WHERE md5(phw.'.$key.') = '.$phw.' limit 1;
тогда в общем то все безопасно при перехвате.