> Essa seria uma boa prática?

Não. A [forma recomendada de proteger uma senha][1] é através de um hash lento (PBKDF2, BCrypt ou scrypt). Você está correto em dizer que um hash rápido é ineficaz, mas você percebe que usar um algoritmo de criptografia em uma única direção (só cifrar, nunca decifrar) é quase a mesma coisa que aplicar um hash?

Não seria honesto de minha parte dizer que sua técnica é de todo inútil, entretanto - se um atacante obtiver acesso ao banco de dados *e só ao banco de dados* (por exemplo, explorando uma Injeção de SQL) ele será incapaz de recuperar as senhas. De fato, existe uma técnica chamada *"pepper"* (pimenta) que se aproveita desse fato para dar proteção adicional a um hash (mais detalhes na resposta à pergunta linkada). O problema está em basear toda sua segurança somente nessa premissa (que o atacante não terá acesso ao seu código, nem que seja só pra leitura).

> AES seria o melhor algorítimo?

Nem AES nem nenhum outro algoritmo de criptografia simétrica (como o 3DES, etc). Pois mesmo que *você* não pretenda decifrar a senha em nenhum momento, um atacante que obtenha acesso ao seu BD e sua chave não vai fazer o mesmo "por questão de honra", ele vai é desfazer a criptografia e pronto! Ou seja, seu login fica lento (pois você fica cifrando e comparando) e o atacante continua rápido...

Uma cifra assimétrica seria marginalmente melhor (pois assim o atacante não poderia simplesmente decifrar, ele teria de testar senha por senha - pois se a chave privada está fora do servidor, ele só pode usar a chave pública) mas ela ainda corre o risco de ser excessivamente rápida em relação a um hash. No fim das contas, um hash é mesmo o melhor que você pode razoavelmente conseguir, e o uso de um *pepper* ajudaria a dar a segurança adicional que você buscou ao propor esse método (embora eu, pessoalmente, não costumo me preocupar demais com isso - vai depender do quão sensível é sua aplicação particular).

> Como poderia ser feita <del>a criptografia AES</del> um hash lento usando C#? Já existe algum método pronto?

O [`Rfc2898DeriveBytes`][2] é uma solução nativa para o PBKDF2 (existem também implementações BCrypt e scrypt para .Net, de terceiros creio eu), você só precisa ajustar os parâmetros de acordo. Um exemplo seria:

    string pwd = senha_a_ser_hasheada;

    // Cria um sal aleatório de 64 bits
    byte[] salt = new byte[8];
    using (RNGCryptoServiceProvider rngCsp = new RNGCryptoServiceProvider())
    {
        // Enche o array com um valor aleatório
        rngCsp.GetBytes(salt);
    }

    // Escolha o valor mais alto que seja "tolerável"
    // 100 000 era um valor razoável em 2011, não sei se é suficiente hoje
    int myIterations = 100000;
    try
    {
        Rfc2898DeriveBytes k = new Rfc2898DeriveBytes(pwd, salt, myIterations);
        byte[] hash = k.getBytes(32);
        // Codifica esse hash de alguma forma e salva no BD
        // (lembre-se de salvar o salt também! você precisará dele para comparação)

Se quiser usar um *pepper*, pegue o valor secreto que só existe no seu código (ou em algum arquivo de configuração) e concatene-o à senha ou ao sal antes de realizar o hash (ajustando o tamanho se necessário).



  [1]: https://pt.stackoverflow.com/q/2402/101
  [2]: https://msdn.microsoft.com/pt-br/library/system.security.cryptography.rfc2898derivebytes.aspx