Estás comparando dos tipos diferentes de defensas que funcionan contra dos tipos diferentes de amenazas, sin decir qué tipo de secretos estás tratando de proteger o contra qué tipo de amenazas estás tratando de defenderte. Y no nos da protocolos completos para trabajar, por lo que vamos a hacer conjeturas sobre lo que está tratando de hacer. Entonces, comprenda por adelantado si la respuesta no cumple con sus expectativas.
Lo primero que hay que recordar acerca de la sal es que no se mantiene en secreto, y no se pretende que se mantenga en secreto. La única razón por la que existe sal es para hacer que sea difícil adivinar el valor de los datos en el caso en que los datos que se están procesando deben permanecer en secreto Y es posible que los datos puedan colisionar con otros datos. Por ejemplo, si usted y yo elegimos la misma contraseña y ambos hashes de contraseña se guardan en la base de datos, alguien que mira la base de datos podría ver que el hash de mi contraseña es el mismo que el suyo. Pero cuando conozco su sal (recuerde, la sal no es secreta), puedo intentar forzar la fuerza bruta adivinando su secreto ejecutando mis conjeturas a través de su algoritmo de sal + hash.
La siguiente pregunta es ¿cómo estás cifrando el hash? ¿Todos los hashes están cifrados con la misma clave? Si es así, las colisiones entre secretos son todavía posibles y no se comportan de manera diferente a un hash sin sal. Por ejemplo, si mi secreto es "Squeamish Ossifrage", el resumen de hash podría ser 123456, y el resumen de hash cifrado con la clave ABC podría ser XYZ999. Si su secreto también es "Squeamish Ossifrage", entonces su resumen de hash también es 123456, y el resumen de hash cifrado con la clave ABC también es XYZ999. Un atacante podría comparar las entradas en la base de datos y al ver que ambos tenemos XYZ999 sabríamos que su secreto es el mismo que el mío.
El cifrado de un hash con una clave secreta hace una cosa: evita que otra persona lo calcule porque no conocen la clave secreta. De lo contrario, funciona de manera equivalente a un hash.
Y NO te preocupes por "un algoritmo de descifrado podría ser descifrado". Si ha elegido un algoritmo fuerte como lo indicó en sus condiciones previas, no es una preocupación realista. (Y si has elegido AES-256 y está roto, el mundo entero tiene mucho más que perder que los secretos que guardes).