PBKDF2
Password-Based Key Derivation Function 2 (RFC 2898) — convierte una contraseña en una clave de forma deliberadamente lenta, aplicando HMAC cientos de miles de veces.
Principio de diseño: encarecer la fuerza bruta fijando el coste de cada intento. El usuario nota 100 ms al iniciar sesión; el atacante se enfrenta a 100 ms × millones de intentos. Estándar en WPA2, el keychain de iOS, 1Password, LUKS, y Rfc2898DeriveBytes de .NET.
Debilidad moderna: depende solo de la CPU, así que es barato acelerarlo con GPU o ASIC. Argon2 y scrypt son memory-hard — el hardware del atacante escala peor. NIST todavía permite PBKDF2 (SP 800-132) pero ahora recomienda Argon2id para sistemas nuevos.