記得 Dropbox 前陣子才強迫所有使用者重設密碼：「The Dropbox hack is real」，官方的報告在這：「Resetting passwords to keep your files safe」，當時洩漏出來的資訊可以知道 2012 年的時候 Dropbox 用的是 SHA1：
What we've got here is two files with email address and bcrypt hashes then another two with email addresses and SHA1 hashes.
三個多禮拜候，Dropbox 說明了現在的密碼儲存策略：「How Dropbox securely stores your passwords」，現在是先 SHA512，再 bcrypt，然後存在資料庫裡時使用 AES256 保護：
比較特別一點的是先 SHA512 的部份，除了 72bytes 常見限制外，另外一個原因是為了避免 DoS，不過還是覺得有點怪就是了：
Other implementations don’t truncate the input and are therefore vulnerable to DoS attacks because they allow the input of arbitrarily long passwords.
而 AES256 的部份則是確保就算 SQL injection 或是其他方式將儲存的密碼撈出去後，也還有相當程度的保護能力。