Mange forumvarianter gjør allerede dette. Problemet er når man vet algoritmen bak. Hvis jeg sitter med brukerdatabasen din og finner ut at algoritmen din er md5(md5(user)+md5(pass)) så vil du i beste fall redusere hastigheten min med en faktor på litt over 3. (Siden jeg blir nødt til å utføre 3 md5-kalkulasjoner, samt mellomlagre og addere disse). I verste fall kan jeg tweake algoritmene mine til å utnytte kollisjoner og feil som gjøres når md5-hashen brukes i serie på denne måten og få et resultat som er nesten like raskt som før.

Problemet er at md5/sha* er laget for å være ekstremt kjappe, mens f.eks. bcrypt kan tweakes til å ta akkurat så lang tid det måtte passe deg. Tar det plutselig 1 sekund å regne ut passordet så må en angriper bruke forferdelig mye tid på å brute-force. Likevel bruker utviklere md5 den dag i dag. Et annet problem er at folk flest har generelt ekstremt dårlige kunnskaper innenfor kryptografi og generell statistikk. Det er ikke rent sjeldent jeg ser folk kalkulere rand()*rand() for å "øke randomiseringen" f.eks.