Как по мне, при работе с хешами часто забывают о таких вещах. Во-первых, MD5 и SHA1 — быстрые, но нынче практически незащищённые, легко находятся коллизии и цепляются к словарям. Их можно юзать разве что для простых контрольных сумм, но не для безопасности.

Во-вторых, более свежие хеши типа SHA256 и SHA3 уже серьезнее, но они без соли всё равно уязвимы к радужным таблицам. Тут нужна соль или вообще переходить на что-то вроде bcrypt, scrypt или Argon2 — они чуть медленнее, но для паролей гораздо лучше.