Это сейчас так работает. Коллизия - это совсем не значит совпадение исходника, это означает только совпадение хэша. С другой стороны, длинна исходника известна, так что это несколько снижает круг поиска (на несколько десятков лет
Для усиления защиты можно сделать соль переменной длинны. В этом случае имея коллизию нельзя быть до конца уверенным что что ты имеешь на руках именно соль.