Главное — выбрать нормальный алгоритм и убедиться, что соль и генерация случайных данных сделаны правильно. Без этого даже самый крутой хеш превратится в дырку. Пока не погружаешься в реализацию, тривиальные ошибки часто остаются незамеченными и могут свести всю защиту на нет.