DUKPT
Uno standard per derivare una chiave unica per ogni transazione a partire da una chiave base che vive solo dentro un HSM.
DUKPT (Derived Unique Key Per Transaction) è descritto in ANSI X9.24 ed è usato soprattutto nei terminali di pagamento. A ogni terminale vengono assegnate chiavi derivate da una base derivation key e, per ogni transazione, si deriva una nuova chiave da un contatore incrementale. La chiave base non lascia mai l'HSM, e una chiave di transazione intercettata non dovrebbe permettere di risalire a quella base.
Una chiave compromessa costa quindi una sola transazione anziché tutte. Il progetto dipende dal fatto che il contatore resti sincronizzato fra terminale e ricevente, un dettaglio operativo che la pianificazione dimentica volentieri.