Zitierfähige Quellen stehen noch aus, es wird eher immer mal am Rande erwähnt. Es ist auch nicht so, dass alle PBKDF2 für überholt halten, auch wenn sich die Ansicht zunehmend durchsetzt. Passwort Hashing ist ein relativ neuer Forschungsbereich und es gibt noch keine wirklich überzeugende Lösung. Argon2, Scrypt oder Catena haben ihre Schwächen, wenn auch wesentlich geringere als PBKDF2.