DUKPT
Standard wyprowadzania unikalnego klucza dla każdej transakcji z klucza bazowego, który istnieje wyłącznie wewnątrz HSM.
DUKPT (Derived Unique Key Per Transaction) opisuje norma ANSI X9.24 i stosuje się go głównie w terminalach płatniczych. Każdy terminal otrzymuje klucze wyprowadzone z bazowego klucza wyprowadzającego, a dla każdej transakcji nowy klucz powstaje z rosnącego licznika. Klucz bazowy nigdy nie opuszcza HSM, a przechwycony klucz transakcji nie powinien pozwalać na odtworzenie klucza bazowego.
Skompromitowany klucz kosztuje więc jedną transakcję, a nie wszystkie. Konstrukcja zależy od tego, czy licznik pozostaje zsynchronizowany między terminalem a odbiorcą, a ten szczegół operacyjny często umyka na etapie planowania.