Application File Locator (AFL)

AFLはタグ94に収められ、GET PROCESSING OPTIONSの応答でAIPと一緒に返ってくる。4バイトずつのエントリで構成され、各エントリはカード内のファイル（SFI、ショートファイル識別子）、読み出す先頭と末尾のレコード番号、そのうちオフラインデータ認証の対象となるレコード数を示す。端末はリストを上から順にたどり、レコードごとにREAD RECORDコマンドを1回発行して、カード番号、有効期限、証明書、CVMリスト、CDOLを集める。

お役所仕事のように聞こえるが、実際そのとおりである。ただし最後の数字が、発行者の署名が実際に何を保護するかを決める。対象外のレコードは、原理的には署名検証に気づかれずに改ざんできる。