https://www.fe-siken.com/kakomon/21_aki/pm04.html

（e)についてです。方式２についてなんですが、解説で「レスポンスからパスワードを割り出すのは不可能」とありますが、図を見ると既にその前にIDとパスワードを送信しているように思われます。なのでパスワードはもう不正サーバに送られてしまっていて、ハッシュ関数も公開されているものなので方式２も答えに入るのかと思いました。どこの解釈がずれているでしょうか？回答のほどよろしくお願いいたします。

最初に送るのはIDだけです。パスワードとチャレンジからハッシュ値を計算しレスポンスとして送ります。パスワードそのものを送ることはありません。
・・・最初の矢印の上には利用者IDしか書いてありません。