Application File Locator (AFL)
L'indice della carta a chip: quali record il terminale deve leggere e quali fanno parte dei dati firmati.
L'AFL si trova nel tag 94 e arriva insieme all'AIP nella risposta al comando GET PROCESSING OPTIONS. È composto da voci di quattro byte. Ciascuna indica un file sulla carta (l'SFI, short file identifier), il primo e l'ultimo record da leggere e quanti di questi record contano per l'autenticazione offline dei dati. Il terminale scorre l'elenco con un comando READ RECORD per record, raccogliendo numero della carta, data di scadenza, certificati, lista CVM e CDOL.
Sembra burocrazia, e lo è. Ma quell'ultimo numero stabilisce che cosa la firma dell'emittente copra davvero. I record fuori dal conteggio possono, in linea di principio, essere alterati senza che alcun controllo di firma se ne accorga.