パスワードという物は、基本的に複雑な組み合わせで有るほど良いと聞きます。
単に英文字だけよりも、英文字の大小や数字等を組み合わせたりしてね。
ですが、それだと作った本人がいちいち覚えていられない。
そうかといって「 英大文字のみで３文字 」とかだと簡単に解読されてしまいますしね。
でしたら、例えば３文字のパスワードを２種類入力させる、という方法はどうでしょうか？
それがタイトルに書いた「 二段階 」というやつですね。
要するにパスワード３文字を２回入力するという事です。
まず、一つ目のパスに「 DDO 」と入れたとしましょう。
このパスが正解であっても、不正解であっても、カーソルは２つ目の入力欄に自動で移動します。
次に、２つ目のパス入力欄に「 SSC 」と入力したとします。
この時、パスが２つとも正解ならば合格となり、どちらか片方でも不正解なら不合格です。
そして他人のパスを不正に入力しようとしていた人物には、
パスが両方とも不正解だったのか、片方だけが不正解だったのか等は、一切分からない形にする。
・・・でもこれ、もしかして、
普通に６文字のパスを１回分だけ入力するのと変わらなかったりします？
でしたら、１時間ごとに「 一段階目 」と「 二段階目 」が交代する、というのはどうでしょう？
最初の１時間は１つ目が「 DDO 」で２つ目が「 SSC 」ですが、
次の１時間は１つ目が「 SSC 」で２つ目が「 DDO 」に入れ替わるのです。
６文字全部を覚えている本物のユーザーでしたら、
「 DDO SSC 」と入力してエラーになっても、
「 SSC DDO 」と再入力すれば良い、と分かるはずですから困らないと思います。
※ ・・・念の為、他のアイディアも考えてみます。