Metodo di verifica del titolare (CVM)
Il passaggio di un pagamento con carta che dovrebbe provare che chi la tiene in mano ne è anche il titolare: PIN, firma, biometria del telefono o niente affatto.
In EMV il chip contiene una lista CVM in ordine di priorità e il terminale la scorre finché trova un metodo supportato da entrambe le parti. Il PIN offline è verificato dal chip stesso. Il PIN online viene cifrato in un PIN block e inviato all'emittente. La firma significa un cassiere stanco che confronta due scarabocchi, e Visa e Mastercard hanno smesso di richiederla in Nordamerica nel 2018. «No CVM» copre i piccoli acquisti contactless, mentre CDCVM indica che il telefono ha già verificato il proprietario tramite impronta o volto.
La negoziazione è anche una superficie d'attacco. Nel 2010 il gruppo di Steven Murdoch a Cambridge dimostrò che un man-in-the-middle poteva convincere il terminale che il PIN fosse stato accettato, mentre la carta credeva che l'acquisto sarebbe stato firmato. Qualsiasi PIN funzionava e la ricevuta riportava tranquillamente «PIN verificato».