Weiterhin besteht der Nachteil, dass im Prinzip beide Seiten das Passwort verraten können. Obwohl die passwortprüfende Seite das Passwort vom Verfahren her nicht speichern soll, wird es ihr bei jeder Authentifizierung temporär zur Prüfung übermittelt.