Metoda weryfikacji posiadacza karty (CVM)
Etap płatności kartą, który ma dowieść, że osoba trzymająca kartę jest jej właścicielem: PIN, podpis, biometria telefonu albo nic.
W EMV chip zawiera listę CVM w kolejności priorytetu, a terminal idzie po niej, aż trafi na metodę obsługiwaną przez obie strony. PIN offline sprawdza sam chip. PIN online jest szyfrowany w bloku PIN i wysyłany do wydawcy. Podpis to zmęczony kasjer porównujący dwa zawijasy; Visa i Mastercard przestały go wymagać w Ameryce Północnej w 2018 roku. „No CVM” obejmuje drobne płatności zbliżeniowe, a CDCVM oznacza, że telefon sam zweryfikował właściciela odciskiem palca lub twarzą.
Negocjacje te są też powierzchnią ataku. W 2010 roku grupa Stevena Murdocha z Cambridge wykazała, że man in the middle potrafi przekonać terminal, iż PIN został zaakceptowany, podczas gdy karta uważa, że transakcję potwierdzono podpisem. Działał każdy PIN, a rachunek z radosną pewnością informował „PIN zweryfikowany”.