Är detta påstående om lösenordssäkerhet sant?

Ja visst kan man se till att beräkningen tar längre tid för en egentligen snabb algoritm, det är dock inte optimalt i mitt tycke och kräver djupare förståelse av utvecklaren. I ditt exempel har du i bästa fall utökat tiden som krävs med en faktor 3-4, men skulle i själva verket behöva komma en bra bit över en faktor 1000 för att det ska ge något. (Det finns lite andra faktorer som spelar in också.)

Att använda sig av någon form av Blowfish-schema är ett bättre alternativ enligt mitt tycke, ja.