Так чтобы проверить пароль, его всё равно нужно в какой-то буфер записать. Иначе проверять нечего. И в эти 500 символов попал не обязательно пароль того человека, который пытается зайти. Собственно, на то и расчёт.