Самое частое косяк — это когда пытаются «восстановить» пароль из хеша, а это по определению невозможно. Ну и соль часто забывают учитывать, кажется, пустяк, а всё летит к чертям. Ещё бывает — берут старые алгоритмы, хотя их уже все обходят легко. В общем, без понимания конкретных параметров — шансов мало.