カード会員確認方法(CVM)
カードを持っている人が本当の持ち主であることを確かめるためのステップ。PIN、署名、スマホの生体認証、あるいは何もしない。
EMVではチップが優先順位つきのCVMリストを持ち、端末は双方が対応する方法が見つかるまでそれを上から順に辿る。オフラインPINはチップ自身が検証し、オンラインPINはPINブロックに暗号化して発行会社へ送る。署名とは、疲れた店員が二つの走り書きを見比べることで、VisaとMastercardは2018年に北米で署名の必須要件をやめた。少額の非接触決済は「No CVM」で済み、CDCVMは指紋や顔による本人確認をスマホがすでに済ませていることを意味する。
このネゴシエーション自体が攻撃対象にもなる。2010年、ケンブリッジ大学のスティーブン・マードックらのグループは、中間者が「PINは受理された」と端末に思い込ませる一方、カードには「署名で決済される」と思い込ませられることを示した。どんなPINでも通り、レシートには平然と「PIN verified」と印字された。