Num algoritmo de hash, somente aquilo que está sendo hasheado é secreto. Tudo mais é público (sal, fator de trabalho, outros parâmetros). Esses algoritmos são projetados para manterem a resistência à pré-imagem (i.e. a partir do hash se descobrir a senha) mesmo que tudo o mais sobre ele forem conhecidos. Por isso, o fato de um atacante ver o cifrão no código não é relevante (mesmo porque no momento em que ele pôs as mãos no seu banco ele já deve conhecer tudo sobre seu sistema).
Além disso, outros algoritmos de hash (mesmo os "quebrados" como MD5) também vão precisar no mínimo de um sal (para evitar rainbow tables), e esse sal vai ter que ser armazenado em algum lugar, não? Que diferença faz se for no próprio hash (separado por cifrão) ou em uma outra coluna na mesma tabela (que o atacante também já tem)?
Sobre qual o melhor algoritmo dos três, veja as demais respostas para um comparativo. Pessoalmente, creio que o PBKDF2 com um número elevado de iterações deve ser suficiente para proteger uma senha (mas na realidade os três são bons o bastante). E se seu sistema possuir requisitos de segurança elevados (como os de um banco, ou próximo disso) então considere utilizar outros meios além da senha para proteger as contas dos seus clientes (autenticação em dois fatores, por exemplo).
Atualização: Digamos que, para tornar mais difícil a vida de um atacante, você resolva: 1) tirar o cifrão da saída; 2) mudar a ordem dos elementos. Dessa forma, você está transformando:
$s0$e0801$epIxT/h6HbbwHaehFnh/bw==$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=
em
e0801s07H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=epIxT/h6HbbwHaehFnh/bw==
O que o atacante vai fazer?
Criar uma conta no seu site. Assim ele conhecerá 1 senha (sua própria) e o hash correspondente;
Ler como funciona o scrypt, descobrindo que ele tem:
Um número de versão. Quantos
s0
têm na sua string? Só 1:e0801 s0 7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=epIxT/h6HbbwHaehFnh/bw==
Os parâmetros do algoritmo. Bom, nesse caso está óbvio que é o primeiro grupo;
Um sal e uma chave. Bom, nesse caso ficou fácil pois a codificação base64 terminou com
=
e==
, então é fácil achar os pedaços.e0801 s0 7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0= epIxT/h6HbbwHaehFnh/bw==
Qual é o sal e qual é a chave? Bom, ele sabe a própria senha e o hash dela, então é só fazer 2 testes:
$s0$e0801$epIxT/h6HbbwHaehFnh/bw==$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0= $s0$e0801$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=$epIxT/h6HbbwHaehFnh/bw==
O que der certo, é o formato que você está usando!
Ainda que você use base 16 para tornar mais difícil achar os limites entre as partes, o trabalho para se testar todas as possibilidades (dentro de uma mesma representação de hash) é mínimo comparado ao trabalho de tentar quebrar o hash. Se o atacante tem dinheiro o suficiente para fazer um ataque no hash, ele pode fazer esse testezinho numa questão de minutos. Você só complicou sua implementação em troca de uns minutinhos do tempo do atacante. Valeu a pena?