При создании хеша для пароля (на основе PBKDF2, например), нужно указывать количество iterations. Если на одной системе использовались пароли с одним значением для iterations, а на другой будет использовать другое значение, и те, и те хеши будут нормально распознаваться?