Добрый день!

При написании программного обеспечения возникла необходимость в добавлении возможности аутетификации по eToken/ruToken'у.
Прежде чем заниматься велосипедостроением хотел спросить об успешных способах имплементции подобных механизмов в программном обеспечении.

Приложение по своей сути клиентское, на серверное стороне общается исключительно с СУБД. Пока вижу 2 варианта реализации:
1) Создание и запуск на сервере службы проверки подлинности ключа, которая и будет осуществлять проверку пользователя и его прав.
2) проверять на стороне клиентского приложения.
3) Другой вариант.

Какой вариант является наиболее оптимальным, с расчетом, если в последствии придется подписывать действия пользователя (записи в БД)?
К сожалению, не нашел в примерах ничего похожего, для понимания процесса. Пока чувствую интуитивно, но был бы признателен, если бы кто-то подсказал, что подписывать, с чего вычислять хэш и как это хранить.