Terminalowy klucz główny (TMK)
Klucz, który terminal płatniczy lub bankomat dzieli z hostem i pod którym szyfrowane jest po drodze wszystko inne.
W klasycznym schemacie klucz główny/sesyjny każdy terminal dostaje własny TMK. Host przesyła następnie klucze robocze, na przykład ten, którym terminal szyfruje bloki PIN, zaszyfrowane pod TMK, i wymienia je tak często, jak chce. Sam TMK zmienia się rzadko. Ładuje się go w zabezpieczonym pomieszczeniu u producenta albo, w starszych bankomatach, ręcznie na miejscu, przez dwóch techników, z których każdy trzyma jeden komponent według zasady podziału wiedzy.
Ręczne ładowanie było drogie i zawodne, więc górę wzięły dwa podejścia. DUKPT w ogóle oszczędza hostowi przechowywania klucza dla każdego terminala. Zdalne ładowanie kluczy kryptografią asymetryczną w standardzie TR-34 pozwala hostowi wypchnąć nowy TMK przez sieć do terminala, który wykazał swoją tożsamość certyfikatem. Banki przestały wysyłać ludzi z kopertami.