PBKDF2
Password-Based Key Derivation Function 2 (RFC 2898) — намеренно замедляет превращение пароля в ключ, прогоняя через HMAC сотни тысяч итераций.
Принцип: поднять цену перебора, зафиксировав объём работы на одну попытку. Пользователь замечает 100 мс при входе; атакующему те же 100 мс умножаются на миллионы попыток. Стандарт в WPA2, связке ключей iOS, 1Password, LUKS, .NET Rfc2898DeriveBytes.
Современная слабость: алгоритм упирается только в CPU, поэтому его дёшево ускорять на GPU/ASIC. Argon2 и scrypt требовательны к памяти — оборудование атакующего масштабируется хуже. NIST всё ещё допускает PBKDF2 (SP 800-132), но для новых систем уже рекомендует Argon2id.