CDOL
La lista de la compra de la tarjeta chip: qué datos debe entregarle el terminal antes de que calcule su criptograma.
La Card Risk Management Data Object List es una relación de etiquetas EMV y longitudes, sin valores. Cada tarjeta lleva dos: CDOL1 en la etiqueta 8C y CDOL2 en la 8D. Lo habitual es pedir el importe (9F02), la moneda, el código de país, la fecha, el tipo de transacción, el TVR del terminal y un número aleatorio generado por este (9F37). El terminal busca cada etiqueta, encadena los valores en ese orden exacto y lo envía todo con el comando GENERATE AC.
Con esos bytes la tarjeta calcula su criptograma de aplicación. CDOL1 sirve para la primera llamada; CDOL2 para la segunda, tras la respuesta del emisor, y por eso incluye el código de respuesta. Como la lista es un dato y no código, el emisor decide qué ata el criptograma sin tocar un solo terminal. Si el terminal omite una etiqueta, se rellena con ceros, y la tarjeta también firma eso sin rechistar.