Método de verificación del titular (CVM)
El paso de un pago con tarjeta que debe demostrar que quien la sostiene es también su dueño: PIN, firma, la biometría del móvil o nada en absoluto.
En EMV, el chip lleva una lista de CVM por orden de prioridad, y el terminal la recorre hasta dar con un método que ambas partes admitan. El PIN offline lo comprueba el propio chip. El PIN online se cifra en un bloque PIN y viaja hasta el emisor. La firma consiste en que un cajero cansado compare dos garabatos, y Visa y Mastercard dejaron de exigirla en Norteamérica en 2018. «No CVM» cubre las compras pequeñas sin contacto, y CDCVM significa que el móvil ya ha verificado a su dueño por huella o por cara.
La negociación es también una superficie de ataque. En 2010, el grupo de Steven Murdoch en Cambridge demostró que un intermediario podía convencer al terminal de que el PIN era correcto mientras la tarjeta creía que la compra se firmaría. Valía cualquier PIN, y el recibo afirmaba tan tranquilo «PIN verificado».