Khái niệm cơ bản trong ý tưởng này là người đăng nhập không phải tiết lộ password của mình cho nhà cung cấp dịch vụ trước khi anh ta chắc rằng nhà cung cấp dịch vụ đã biết mật khẩu hoặc một chức năng nào đó của mật khẩu.