Вразливість полягає у недостатній довжині нонсів, що дозволяє їх перебір за поліноміальний час

Зловмисник М може перехопити нонс Аліси, зашифрований ключем Боба, і переслати його Бобу від свого імені, отримуючи автентифікацію перед Бобом як Аліса

Атака є можливою через відсутність у другому повідомленні ідентифікатора відправника (Боба), що дозволяє Алісі не розпізнати підміну та допомогти М завершити автентифікацію

Зловмисник може модифікувати нонс у першому повідомленні, оскільки RSA не забезпечує цілісності