Да, все правильно. Нескольким разным паролям может соответствовать один и тот же md5-хеш.