소요시간은 bcrypt 쪽의 표준에 맞춘 것으로, 한 자리 높아질 때마다 시간이 2배씩 걸립니다. 예를 들어 8에서 10으로 바꾸면 4배 더 오래 걸리고, 8에서 12로 바꾸면 16배 더 오래 걸립니다. 컴퓨터의 성능은 무어의 법칙에 따라 약 1.5~2년마다 2배씩 증가하기 때문에 권장 기준도 1.5~2년마다 한 자리씩 높아집니다. 2017년 현재 8은 다소 낮다는 의견이 많습니다. 아주 느린 서버가 아니라면 10 정도로 높이는 게 좋아요.

pbkdf2에서는 원래 소요시간이라는 개념이 없고 반복 횟수만 지정하도록 되어 있지만, XE에서는 bcrypt와 비슷한 소요시간을 만들어내기 위해 sha256 해시를 2^{(소요시간+5)}회 반복하도록 합니다. 기본값 그대로 8을 사용한다면 2⁽⁸⁺⁵⁾ = 2¹³ = 8192번이 됩니다. 만약 12를 사용한다면 2⁽¹²⁺⁵⁾ = 2¹⁷ = 131072번이 되고요. 16배 높아지는 것을 볼 수 있지요?

DB에서 sha256 뒤에 나오는 0008192가 바로 이 반복 횟수를 기록해 놓은 것입니다. 세번째 것은 솔트이고, 네번째가 실제 해시값입니다. pbkdf2는 알고리즘(sha256), 반복 횟수, 솔트를 모두 기록해 두어야 비번이 맞는지 확인할 수 있습니다.

bcrypt도 마찬가지지만 솔트와 해시값을 바짝 붙여서 저장하기 때문에 눈에 잘 띄지 않는 것 뿐이고요. $2y$08$솔트+해시값 이런 식으로 저장됩니다. 2y가 알고리즘이고 08이 소요시간 기준입니다.