meglio se usi
session.setAttribute("user", user);
session.setAttribute("password", password);
così si prendono con
user = session.getAttribute("user");
password = session.getAttribute("password");