Самое главное — не брать старые алгоритмы типа MD5, это сейчас почти моветон. Лучше сразу смотреть на SHA-256 и обязательно добавлять соль при работе с паролями, иначе толку мало. Я проверял на практике — если хоть один бит поменять, хеш должен кардинально измениться, иначе что-то явно не так. И сравнение по байтам — это святое, иначе можно баг словить незаметно.