Terminal master key (TMK)
La chiave che un terminale di pagamento o uno sportello ATM condivide con il proprio host, e sotto la quale viene cifrato tutto il resto durante il tragitto.
Nel classico schema master/sessione ogni terminale riceve una propria TMK. L'host invia poi le working key, per esempio quella con cui il terminale cifra i PIN block, cifrate con la TMK, e le ruota quanto vuole. La TMK stessa cambia di rado. Viene caricata in una sala sicura presso il produttore oppure, sugli ATM più vecchi, a mano sul posto da due tecnici che detengono ciascuno una componente secondo il principio della split knowledge.
Il caricamento manuale era costoso e fragile, e due approcci hanno preso il sopravvento. DUKPT evita del tutto all'host di conservare una chiave per ogni terminale. Il caricamento remoto con crittografia asimmetrica secondo TR-34 permette all'host di inviare una nuova TMK via rete a un terminale che ha dimostrato la propria identità con un certificato. Le banche hanno smesso di mandare in giro persone con le buste.