Merhabalar,
Projemde kullanıcı parolalarını bcrypt ile hash’liyorum (cost=12 civarı). Sistem gayet stabil çalışıyor ama Argon2id algoritmasının güvenlik açısından daha güncel ve güçlü olduğu konuşuluyor.
Araştırdığım kadarıyla Argon2id’nin memory-hard yapısı sayesinde GPU/ASIC tabanlı brute-force saldırılarına karşı bcrypt’e göre daha dayanıklı olduğu söyleniyor.
Ama öte yandan bcrypt uzun yıllardır güvenilirliğini kanıtlamış, neredeyse her platformda desteklenen bir yöntem.
Aklımdaki sorular:

• Argon2id’ye geçmek gerçekten güvenlik açısından fark yaratır mı, yoksa fark teorik düzeyde mi kalır?
• Performans açısından (özellikle login yoğun sistemlerde) sunucuya ciddi yük bindirir mi?
• Mevcut bcrypt hash’leriyle kullanıcıları kademeli olarak Argon2id’ye taşımak için en mantıklı yöntem nedir? (örneğin kullanıcı login olduğunda yeniden hashleme gibi)

Kısacası:
Şu an bcrypt kullanan bir proje için Argon2id’ye geçmek gerçekten değer mi, yoksa bcrypt hâlâ yeterince güvenli mi diyorsunuz?
Bu konuda tecrübesi veya görüşü olan varsa çok sevinirim
Şimdiden teşekkürler.