Ha megszerzem a db-t, be tudok lépni bármelyik felhasználóval. Teljesen mindegy, hogy amit letárolsz az a jelszó, vagy a jelszóból számított érték, ha a szerver oldalon nem történik vele semmi. A sózásnak is ez az értelme, ha nem lehetne ellopni a db-t, teljesen felesleges lenne. Csak ezt az eshetőséget előre nem tudod kizárni. :)