この製品は複数の動作を実行し、それらが組み合わさって1つの結果を生み出すが、攻撃者が内部状態や内部決定点を明らかにできるような形で、個々の動作は個別に観察可能である。
理想的には、製品は攻撃者にできるだけ情報を提供しないことである。 攻撃者が前進している可能性のあるヒントは、攻撃を単純化または最適化するために使用することができます。 例えば、ユーザー名とパスワードが必要なログイン手順では、最終的な判断はただ一つ、成功か失敗かです。 しかし内部では、ユーザー名が存在するかどうかの判断と、パスワードが正しいかどうかのチェックという、2つの別々のアクションが実行される。 もしユーザ名が存在するかしないかで製品の動作が異なれば、攻撃者はパスワードだけに集中すればよい。
The product performs multiple behaviors that are combined to produce a single result, but the individual behaviors are observable separately in a way that allows attackers to reveal internal state or internal decision points.
Ideally, a product should provide as little information as possible to an attacker. Any hints that the attacker may be making progress can then be used to simplify or optimize the attack. For example, in a login procedure that requires a username and password, ultimately there is only one decision: success or failure. However, internally, two separate actions are performed: determining if the username exists, and checking if the password is correct. If the product behaves differently based on whether the username exists or not, then the attacker only needs to concentrate on the password.