CDOL

De Card Risk Management Data Object List is een lijst van EMV-tags en lengtes, zonder waarden. Een kaart heeft er twee: CDOL1 in tag 8C en CDOL2 in tag 8D. Gebruikelijke items zijn het bedrag (9F02), valuta, landcode, datum, transactietype, de TVR van de terminal en een door de terminal gegenereerd willekeurig getal (9F37). De terminal zoekt elke tag op, plakt de waarden in precies die volgorde aan elkaar en stuurt het geheel mee met het commando GENERATE AC.

Uit die bytes leidt de kaart zijn applicatiecryptogram af. CDOL1 hoort bij de eerste aanroep, CDOL2 bij de tweede, na het antwoord van de uitgever; vandaar dat daar de responscode in zit. Omdat de lijst data is en geen code, kan een uitgever bepalen wat het cryptogram vastlegt zonder één terminal aan te raken. Laat een terminal een tag weg, dan wordt die met nullen gevuld, en ook dat ondertekent de kaart zonder morren.