ИМХО, вместо буквы Ы использовать IP посетителя (вариант forvarded_for, если есть). И подбор затрудняется, и при заходе с др. адреса кого-то с таким хешем в то же время - отлуп.
(У ИЕ есть такая бага - можно получть куку с известным именем даже (!!!) на другом сервере (не на том, кто её дал.))
Ответ DL:
Да, действительно. Так вообще никто не догадается :)