password_hash() crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido.
Si usas
password_hash("hash", PASSWORD_DEFAULT);
Estarás usando el algoritmo bcrypt que está predeterminado a partir de PHP 5.5.0
Por defecto es suficientemente seguro, aunque hay una manera mejor o más segura. A partir de PHP 7.2, Argon2 es parte de un método recientemente implementado (hashing) que ganó la competencia Password Hashing, que ofrece un método más robusto, pero se deberá usar PHP 7.2 en adelante.
Su wiki dice:
Argon2, es el algoritmo para generar hash de contraseñas recomendado
por la Competencia Password Hashing, es un algoritmo moderno para
contraseñas hash seguras. Argon2 aborda varias desventajas clave de
los algoritmos existentes en el sentido de que está diseñado para una
tasa de llenado de memoria más alta, y usa múltiples unidades de
computación efectivas a la vez que proporciona defensa contra ataques
de compensación. A diferencia de Bcrypt, que solo requiere un factor
de costo único, Argon2 se parametriza mediante tres factores
distintos:
- Un costo de memoria que define el uso de memoria del algoritmo
- Un costo de tiempo que define el tiempo de ejecución del algoritmo y el número de iteraciones.
- Y un factor de paralelismo, que define la cantidad de hilos paralelos
Para mas informacion puedes revisar el siguiente link:
https://framework.zend.com/blog/2017-08-17-php72-argon2-hash-password.html
Si actualizar a PHP 7.2 no es una opción, lo que se puede hacer es incrementar el costo .
El costo por default usando BCRYPT es igual a 10, al aumentar el parámetro de costo en 1, se duplica el tiempo necesario para calcular el valor de hash.
El parámetro de costo es el logaritmo (base-2) del recuento de iteraciones, lo que significa:
$iteraciones = 2 ^ $costo;
Por ejemplo:
$hash = password_hash($password, PASSWORD_BCRYPT, ["cost" => 11]);