> проблема то в том, что мастер пароль нужно все равно держать в /dev/head

Угу, и чтобы этим паролем воспользоваться, мало угнать базу с хешами с сервера, надо пролезть на систему к пользователю. Не то, чтоб это было бы невозможно, но это совершенно другой вектор атаки со своими осложнениями на пути у атакующего.

> вот тогда достоинство запоминания фраз быстро оценится по сравнению с сумашедшим рэндомным набором символов, которые практически очень тяжело запоминать.

Фишка в том, что мастер-пароль ты будешь вводить регулярно, каждый день или чаще. При таком подходе несложно за неделю заучить два десятка рандомных символов. Понятно, что, тем не менее, мало кто это делает, но не надо нам тут рассказывать о том, что безопасности нет и не будет, потому что пароли неспособны обеспечить нужный уровень безопасности. Возможно обеспечить паролем, и не так уж и сложно. Хотя конечно бесспорно, что для 95% это слишком сложно.