Sie nimmt, daß der Flecken vom Verkäufer kam und nicht mit in Durchfahrt abgegeben wurde, anstatt von einem Angreifer an, der versucht, sie in das Anbringen eines gefälschten Fleckens zu betrügen, der wirklich Sicherheit Bohrungen öffnen würde.

Sie nimmt an, daß der Verkäufer den Flecken gänzlich prüfte. Verkäufer sind häufig unter beträchtlichem Druck, Flecken schnell herauszugeben und sie nur gegen einen bestimmten Angriff manchmal zu prüfen. Die Verwundbarkeit kann tiefer sein, jedoch und andere Angriffe können folgen. Als jemand eine Großtat von einem Betriebssystemcode des Verkäufers freigab, gab der Verkäufer einen behebenden Flecken in 24 Stunden frei. Leider öffnete der Flecken eine zweite Bohrung, eine, die weit einfacher auszunutzen war. Der folgende Flecken (freigegeben 48 Stunden später) regelte beide Probleme richtig.

Sie nimmt an, daß das Testklima des Verkäufers ihrem Klima entspricht. Andernfalls kann der Flecken möglicherweise nicht arbeiten, wie erwartet. Als Beispiel stellte der Flecken eines Verkäufers einmal Besitze von executables zur Benutzerwurzel zurück. An etwas Installationen erforderten Wartung Verfahren, daß diese executables durch das Benutzersortierfach besessen werden. Der Flecken des Verkäufers mußte für die lokale Konfiguration annuliert werden und geregelt werden. Diese Annahme umfaßt auch mögliche Konflikte zwischen unterschiedlichen Flecken, sowie Flecken, die miteinander widersprechen (wie Flecken von den unterschiedlichen Verkäufern von Software, die das System verwendet).

Sie nimmt an, daß der Flecken richtig angebracht wird. Einige Flecken sind einfach anzubringen, weil sie einfach vollziehbare Akten sind. Andere sind der Komplex und erfordern den Systemverwalter, netzorientierte Eigenschaften zu rekonfigurieren, addieren einen Benutzer, ändern den Inhalt eines Registers, geben Rechte zu irgendeinem Satz Benutzern und laden dann das System neu. Eine Störung in irgendwelchen dieser Schritte könnte verhindern, daß der Flecken die Probleme behebt, wie eine Unbeständigkeit zwischen den Klimas, in in denen der Flecken entwickelt wurde und könnte, in welchen der Flecken angewendet wird. Ausserdem kann der Flecken behaupten, spezifische Privilegien zu erfordern, wenn in der Wirklichkeit die Privilegien und tatsächlich gefährlich nicht notwendig sind

Die formale Überprüfung von S ist correctthat ist, der Beweis hat keine Störungen. Weil formale Überprüfung auf automatisierten Theorem Provers sowie menschliche Analyse beruht, müssen die Theorem Provers richtig programmiert werden.

Die Annahmen, die in der formalen Überprüfung von S gebildet werden, sind korrekt; spezifisch halten die Vorbedingungen im Klima, in dem das Programm durchgeführt werden soll. Den Theorem Provers diese Vorbedingungen werden gewöhnlich sowie das Programm S eingezogen. Ein impliziter Aspekt dieser Annahme ist, daß die Version von O im Klima, in dem das Programm durchgeführt werden soll, dieselbe wie die Version von O verwendet, um S zu überprüfen ist.

Das Programm wird in ein vollziehbares umgewandelt dessen Tätigkeiten denen entsprechen, die durch das Quellenprogramm angezeigt werden; das heißt, sind der Compiler, das Verknüpfungsprogramm, die Ladevorrichtung und alle mögliche Bibliotheken korrekt. Ein Experiment mit einer Version des UNIX Betriebssystems zeigte, wie, einen in Ordnung gebrachten Compiler zu verwüsten sein könnte, und Angreifer haben Bibliotheken mit anderen ersetzt, die zusätzliche Funktionen durchführten, dadurch sieerhöhen sieerhöhen Sicherheit Gefahren.

Die Kleinteile führen das Programm durch, wie beabsichtigt. Ein Programm, das auf Gleitkommaberechnungen beruht, würde falsche Auswirkungen auf einige Computer CPU Späne, unabhängig davon jede formale Überprüfung des Programms, infolge von einem Fehler in diesen Spänen erbringen. Ähnlich nimmt ein Programm, das auf Eingängen von den Kleinteilen beruht an, daß spezifische Bedingungen jene Eingänge verursachen