Я с вами не согласен.
> уже предполагается, что криптоаналитик знает все о шифре

1 Без ssh доступа к серверу нет, а если доступ получен, то смысла уже нет.
> "безопасность через неясность"

ДОПОЛНИТЕЛЬНАЯ безопасность...
Безопасности много не бывает, если при этом она не вредит производительности и удобству авторизации.
Это как сказать, зачем закрывать дверь на замок, ведь в наше время есть куча способов открыть любой замок, по этому замок на двери не нужен, а всё будет упираться в...
> а что мешает сделать на подобии load_file('config.php')

Отсутствие ssh доступа к серверу. при наличие которого уже ничего не нужно будет делать.

P.S. Поставленная мной задача обломать того кто получит доступ к СУБД чтобы заменить хэш админа и зайти как ни в чём не бывало под админом, при этом сохранить надёжность хэша, удобство авторизации и уменьшить объём кэша решается.

Я не говорю, что к СУБД можно будет подпускать кого угодно ничего не опасаясь!
Это просто дополнительная защита, которая в случае эксплоита субд или кривых рук админа может или защитить или заставить взломщика предпринять более заметные действия например вход по ssh, который в auth.log ssh сразу будет заметен, в отличии от access.log apache.