Для особо одаренных объясняю на пальцах. Не имеет ровным счетом никакого значения, как оно передается, и как оно шифруется при передаче. Сверить можно или на сервере, или на месте. Вот представьте на минуту, что у гугла уже есть база данных каких-то паролей. Как они ее получили - это второй вопрос. Если такая база есть, то каждый раз отправляя пользователю несколько строк из этой базы, из набора этих строк всегда будут совпадать строки, связанным с паролем. Если каждый раз все прочие строки случайны, то выделить пароли - это дело техники.
Для того, чтобы отделить пароли сложные от несложных, хватит нескольких регулярных выражений, никакие посторонние базы данных не требуются. Голову иногда тоже надо включать.