Поддержу, что "расшифровать" хеш напрямую нельзя, это не обратимая операция. Но чтобы проверить пароль, используют именно совпадение хеша с хешем введённого пароля и соль обязательно нужна — без неё защищать пароли смысла почти нет. По алгоритмам — лучше сразу забить на MD5 и SHA-1, особо когда речь о безопасности. В целом, правильный подход к хранению и проверке паролей сильно снижает риски.