Uwierzytelnianie danych offline (ODA)
Sposób, w jaki terminal EMV sprawdza, że karta chipowa jest prawdziwa, bez pytania banku, w trzech generacjach: SDA, DDA i CDA.
Pierwsza, SDA (Static Data Authentication), to podpis RSA wydawcy złożony pod stałymi danymi karty. Terminal przechodzi łańcuch od klucza głównego organizacji kartowej przez certyfikat wydawcy i stwierdza, że dane nie zostały zmienione. Nie może jednak stwierdzić, że karta jest prawdziwa, bo te same podpisane dane można bez trudu skopiować na inny chip. Takie klony, zwykle zaprogramowane tak, by akceptowały dowolny PIN, nazwano yes-cards.
DDA (Dynamic Data Authentication) daje karcie własną parę kluczy, którą podpisuje losową liczbę terminala, więc kopia bez klucza prywatnego się zdradza. CDA dodatkowo wiąże ten podpis z kryptogramem aplikacji, co zamyka lukę dla ataku man-in-the-middle, który podmienia odpowiedź. Nowe karty SDA wycofywano w latach 2010. Nic z tego nie ma znaczenia, dopóki terminal nie zatwierdza transakcji offline, jak przy bramkach w transporcie czy w samolotach.