La key è semplicemente un orologio al quarzo da pochi centesimi, a cui è aggiunto qualche altro ammenicolo tecnico in grado di eseguire un semplice algoritmo: quello che viene generato alla pressione del tassto è una serie di "hashcode" chee si basano sul codice univoco del token e sulle coordinate temporali.
Dall'altra parte c'è un server che esegue il medesimo calcolo ed ottiene la stessa serie. I risultati accettati, dunque, sono tutti quelli della serie: il trucco sta infatti nella tolleranza. Il backend accetta tutti i codici precedenti o successivi di 15 minuti dall'ora esatta, a meno che non siano già stati usati.
Per migliorare la sicurezza in molte infrastrutture è stato poi aggiunto un sistema di autoapprendimento che tiene conto della discrepanza oraria tra server e token ad ogni transazione. In questo modo il sistema impara da se stesso e può prevedere di quanto sia, grossomodo, lo scarto orario tra le due parti. In questo modo il sistema restringe il campo (e di conseguenza il numero di hashcode accettati) in base all'andamento a lungo termine delle risposte del token.
È un sistema tanto economico quanto efficace ed ha un grado di sicurezza talmente alto (le statistiche dicono che sono tra i sistemi di credenzial di accesso meno bucati in assoluto dopo le smartcard a firma asimmetrica) che viene utilizzato per accessi VPN, per accessi a coordinate e conti bancari, a portali governativi, eccetera.