Essa seria uma boa prática?
Não. A forma recomendada de proteger uma senha é através de um hash lento (PBKDF2, BCrypt ou scrypt). Você está correto em dizer que um hash rápido é ineficaz, mas você percebe que usar um algoritmo de criptografia em uma única direção (só cifrar, nunca decifrar) é quase a mesma coisa que aplicar um hash?
Não seria honesto de minha parte dizer que sua técnica é de todo inútil, entretanto - se um atacante obtiver acesso ao banco de dados e só ao banco de dados (por exemplo, explorando uma Injeção de SQL) ele será incapaz de recuperar as senhas. De fato, existe uma técnica chamada "pepper" (pimenta) que se aproveita desse fato para dar proteção adicional a um hash (mais detalhes na resposta à pergunta linkada). O problema está em basear toda sua segurança somente nessa premissa (que o atacante não terá acesso ao seu código, nem que seja só pra leitura).
AES seria o melhor algorítimo?
Nem AES nem nenhum outro algoritmo de criptografia simétrica (como o 3DES, etc). Pois mesmo que você não pretenda decifrar a senha em nenhum momento, um atacante que obtenha acesso ao seu BD e sua chave não vai fazer o mesmo "por questão de honra", ele vai é desfazer a criptografia e pronto! Ou seja, seu login fica lento (pois você fica cifrando e comparando) e o atacante continua rápido...
Uma cifra assimétrica seria marginalmente melhor (pois assim o atacante não poderia simplesmente decifrar, ele teria de testar senha por senha - pois se a chave privada está fora do servidor, ele só pode usar a chave pública) mas ela ainda corre o risco de ser excessivamente rápida em relação a um hash. No fim das contas, um hash é mesmo o melhor que você pode razoavelmente conseguir, e o uso de um pepper ajudaria a dar a segurança adicional que você buscou ao propor esse método (embora eu, pessoalmente, não costumo me preocupar demais com isso - vai depender do quão sensível é sua aplicação particular).
Como poderia ser feita a criptografia AES um hash lento usando C#? Já existe algum método pronto?
O Rfc2898DeriveBytes
é uma solução nativa para o PBKDF2 (existem também implementações BCrypt e scrypt para .Net, de terceiros creio eu), você só precisa ajustar os parâmetros de acordo. Um exemplo seria:
string pwd = senha_a_ser_hasheada;
// Cria um sal aleatório de 64 bits
byte[] salt = new byte[8];
using (RNGCryptoServiceProvider rngCsp = new RNGCryptoServiceProvider())
{
// Enche o array com um valor aleatório
rngCsp.GetBytes(salt);
}
// Escolha o valor mais alto que seja "tolerável"
// 100 000 era um valor razoável em 2011, não sei se é suficiente hoje
int myIterations = 100000;
try
{
Rfc2898DeriveBytes k = new Rfc2898DeriveBytes(pwd, salt, myIterations);
byte[] hash = k.getBytes(32);
// Codifica esse hash de alguma forma e salva no BD
// (lembre-se de salvar o salt também! você precisará dele para comparação)
Se quiser usar um pepper, pegue o valor secreto que só existe no seu código (ou em algum arquivo de configuração) e concatene-o à senha ou ao sal antes de realizar o hash (ajustando o tamanho se necessário).