Door TD-er: Een iets simpeler uitleg van een salt (ookal heeft Wizzkizz het al wel goed uitgelegd): Normaal zou je een wachtwoord door een MD5 (of een ander hash algoritme) halen en dan weet je vrijwel zeker dat je het juiste wachtwoord hebt ingetyped om dezelfde hash te krijgen. Het hoeft echter niet zo te, omdat er meer wachtwoorden mogelijk zijn die dezelfde hash opleveren. Dergelijke collisions berekenen is wel mogelijk, maar het is nog steeds erg lastig om exact dezelfde string te berekenen. Door nu een vast stukje tekst voor het wachtwoord te plakken, krijg je een deel wat de gebruiker ingeeft en een deel wat je systeem toevoegt. Dan zijn de berekende collisions dus onbruikbaar, tenzij ze beginnen met die 'salt'. Die kans is echter erg klein, dat je een collision kunt berekenen die begint met die salt. Zeker als je ook nog eens, zoals wizzkizz al zei, verschillende salts gebruikt voor elk account. Dat lukt natuurlijk alleen maar als de "salt" dan ook wordt bewaard. Zo niet, dan is de hash niet ...