流出時は、「パスワードとソルトを足してハッシュ化したもの」と「ソルト」が流出するけど、この2つだと結局実質的な総当たりで計算するしかないので、少なくとも時間は稼げるという話でした。