Bom, não entendo nada de ASP. Mas o PHP consegue fazer isso usando uma lógica que dará para o teu caso, penso eu de que.
Quando o utilizador introduzir a password, esta será verificada na BD, comparando os campos username e password da respectiva tabela com os fornecidos pelo utilizador.
No PHP, é comparado usando uma versão que descodifica a password criptada na bd e depois comparando-a.
Depois dessa validação, criavas um IF. "Se" os dados baterem certos com os da BD, o utilizador é transportado para uma página onde pode ver as fotos.
"Se não" vai para outra página, dizendo que o username e password estão errados.
Quanto à questão de impossibilitar o acesso às fotos via endereço das próprias imagens, sempre podes usar a Protecção Hotlink que impede o visionamento de imagens sem que as mesmas estejam embebidas numa página.
Bem, fiz o meu melhor. Mas de ASP... rien de papu.
Cumps.