鍵の多様化
マスターキーとデバイス固有のIDから、カードやデバイスごとに別々の鍵を導出し、1台が破られても全体が破られないようにする手法。
発行者はマスターキーをHSMで保管する。カードをパーソナライズするとき、そのカード固有のID（カード番号やチップのUIDなど）をマスターキーで暗号化またはMACして、カードの鍵を計算する。カードが持つのは自分の鍵だけだ。端末やその内部のSAMモジュールは、IDを読み取れば同じ鍵を再計算でき、鍵データベースは要らない。
この手法はEMVの決済カードでは標準で、NXPのDESFireカードについてはアプリケーションノートAN10922に詳しく書かれている。利点は、1枚のカードから鍵を抜き出した者の手に入るのが、その1枚分だけだという点。欠点は、マスターキーがいっそう明白な単一の標的になることで、だからこそHSMの外に出してはならない。DUKPTは同じ考え方をカード単位ではなく取引単位で適用する。