チャレンジ・レスポンス方式を使用して認証を行う。サーバーは、チャレンジと呼ばれるランダムなビット列をクライアントに送る。クライアントは、パスワードとチャレンジからレスポンスを計算して、ユーザーIDとレスポンスをサーバに送る。サーバは,ユーザーIDに対応するパスワードをデータベースから引き出し,同じ計算をする。この結果が、送られてきたレスポンスと同じであれば、認証が成功となる。この方法も、サーバ側でパスワードを平文で記録しておく必要がある。