Clave maestra de terminal (TMK)
La clave que un terminal de pago o un cajero comparte con su host, bajo la cual viaja cifrado todo lo demás.
En el esquema clásico master/session, cada terminal recibe su propia TMK. El host envía después las claves de trabajo, como la que el terminal usa para cifrar bloques PIN, cifradas bajo la TMK, y las rota tan a menudo como quiera. La TMK en sí cambia rara vez. Se carga en una sala segura del fabricante o, en cajeros antiguos, a mano y en el sitio por dos técnicos con un componente cada uno, bajo conocimiento dividido.
La carga manual era cara y frágil, y dos enfoques tomaron el relevo. DUKPT ahorra al host tener una clave por terminal. La carga remota con criptografía asimétrica según TR-34 permite al host enviar una TMK nueva por la red a un terminal que ha demostrado su identidad con un certificado. Los bancos dejaron de mandar gente con sobres.