Offline data authentication (ODA)

最初のSDA(静的データ認証)は、カードの固定データに対する発行者のRSA署名である。端末はカードブランドのルート鍵から発行者証明書を経由して署名を検証し、データが改ざんされていないと判断する。だがカードが本物だとは判断できない。署名済みの同じデータは別のチップにそのままコピーできるからだ。こうした複製カードは、たいてい任意のPINを受け付けるよう作られ、イエスカードと呼ばれた。

DDA(動的データ認証)ではカードが固有の鍵ペアを持ち、端末の乱数に署名する。秘密鍵のない複製は、そこで正体が割れる。CDAはさらにその署名をアプリケーション暗号文に結び付け、後から応答を差し替える中間者攻撃の隙を塞ぐ。新規のSDAカードは2010年代に段階的に廃止された。なお、これらが意味を持つのは端末がオフラインで承認する場合、たとえば交通機関の改札や機内に限られる。