MD5 и SHA1 реально устарели, их коллизии давно не секрет. Для паролей нормальный вариант — bcrypt или Argon2, а для проверки целостности обычно берут SHA-256 или выше. Соль и итерации — обязательны, иначе толку мало. Ну и с наследием иногда просто нет времени менять, но по факту это дно по безопасности.