Dywersyfikacja kluczy
Nadawanie każdej karcie lub urządzeniu własnego klucza, wyprowadzonego z klucza głównego i tożsamości urządzenia, tak by złamanie jednego nie łamało wszystkich.
Wystawca trzyma klucz główny w HSM. Przy personalizacji karty jej klucz oblicza się jako szyfrogram lub MAC unikalnej tożsamości karty — na przykład numeru karty albo UID układu — pod kluczem głównym. Karta nosi tylko własny klucz. Terminal, lub moduł SAM w nim, po odczytaniu tożsamości potrafi obliczyć ten sam klucz ponownie, bez żadnej bazy kluczy.
Technika jest standardem w kartach płatniczych EMV, a dla kart DESFire firmy NXP opisuje ją nota aplikacyjna AN10922. Zaleta: kto wydobędzie klucz z jednej karty, ma dokładnie jedną kartę. Wada: klucz główny staje się jeszcze oczywistszym pojedynczym celem, dlatego nigdy nie może opuszczać HSM. DUKPT stosuje ten sam pomysł dla każdej transakcji, a nie dla każdej karty.