Ez helyesen implementált esetben úgy szokott működni, hogy a jelszóváltoztatás egy olyan művelet, aminek két inputja van: a jelenlegi jelszó, meg az új jelszó. A jelenlegi jelszót egyrészt hasheli, és összehasonlítja az adatbázisban lévő hash-elt értékkel, nyilván elvárt az egyezés. Másrészt a jelenlegi jelszót ahogy megkapta plain text-ben hasonlítja az új jelszóhoz, és akkor már lehet vizsgálni, hogy mennyire is új az új.