パスワードを2回入力することで、独立した2つの要素が作られる。

パスワードがコードに置き換わり、1つの証明だけが確認される。

有効なパスワードだけでは不十分になり、別途保護された秘密情報から導出したコードも必要になる。

公開されているユーザー名が2つ目の秘密要素になる。