DUKPT
HSMの中にしか存在しないベース鍵から、取引ごとに固有の鍵を導出するための規格。
DUKPT（Derived Unique Key Per Transaction）はANSI X9.24で規定され、主に決済端末で使われる。各端末にはベース導出鍵から導いた鍵が渡され、取引のたびに、増えていくカウンターから新しい鍵が導出される。ベース鍵はHSMの外に出ず、盗まれた取引鍵からベース鍵を復元できてはならない。
そのため鍵が漏れても失うのは全取引ではなく一件で済む。この設計は、端末と受信側でカウンターの同期が保たれることに依存しており、運用の細部として計画段階で忘れられがちである。