И второй вопрос: в целом, хранить где-то на стороне хеш приватного ключа (например для того чтобы использовать его как аутентификационный челлендж для юзера) это нормальная идея?
да
есть подобные варианты цифровой подписи. 100 раз хэш пароля. нужно доказать что-то? открываешь 99 хэш пароля. итого 100 доказательств. (есть варианты больше с деревьями, но там нужно больше хранить)