Любое серьезное приложение должно использовать только формат пароля hashed
- тогда невозможно получить пароль в виде простого текста - ни для поставщика членства ASP.NET, ни для любого другого кода (кроме того, есть важные достижения в этой области криптографии, приводящей к эффективным атакам на SHA-1).
Другие две опции - это обычный текст и зашифрованные пароли. Обычные текстовые пароли могут быть легко прочитаны из базы данных, а зашифрованный пароль зашифрован с использованием ключа и алгоритма, указанных с помощью элемента <machineKey>
в web.config или machine.config. См. MSDN для справки.