Das Prinzip von Salt habe ich nun verstanden.
Bleibt noch meine Frage:
wie erzeuge ich dann unterschiedliche Resultate bei der Stringverschlüsselung, wenn gleicher Text und gleiches Passwort verwendet wird (analog zu Lockbox)?
Indem du jedes Mal ein anderes Salt verwendest. Das Salt speicherst du zusammen mit dem Passwort in der Datenbank und kannst es somit vor dem Entschlüsseln wieder lesen. Natürlich können dann im Worst Case auch die bösen Jungs das Salt mit auslesen, aber das ist nur begrenzt schlimm, weil es ja vor allem darum geht, es zu erschweren, den Hash zu erraten mit Rainbow-Tabellen und ähnlichem.
Zusätzlich zum Salt kannst du auch noch eine Priese Pepper packen. Das wäre dann eine "geheime" Ergänzung zun Schlüssel, der eben nicht in der Datenbank landet und somit auch jedes Mal gleich ist, aber es somit weiter erschwert, ein Passwort zu erraten.
Siehe auch
hier.