Неплохо расписал про соль и сложные пароли, важно действительно не экономить на безопасности. Правда, стоит ещё учитывать, что просто выбрать сложный пароль мало — хеш-функции с адаптивной сложностью (типа bcrypt) реально спасают от быстрого перебора. А MD5 и SHA1 лучше вообще забыть, они сейчас только для контроля целостности, но не для хранения паролей. В общем, тема не такая простая, как кажется с первого взгляда.