В первом случае можно генерировать конфиги на сервере и отдавать клиенту после подтверждения смской, во втором выходит секьюрней: пользователь вводит пароль, ещё один генерируется на сервере, генерируется конфиг, отдаётся клиенту, а на сервере остаётся только мд5 какой-нибудь. Как пользователь снова приходит получить, он подтверждает номер, вводит пароль, к нему прибавляется уже хранящийся на сервере, генерируется конфиг и проверяется на соответствие хэшу. Если нет, то пароль неверный.