Мастер-ключ терминала (TMK)
Ключ, общий у платёжного терминала или банкомата с хостом, под которым шифруется всё остальное на пути к терминалу.
В классической схеме «мастер-ключ / сеансовые ключи» у каждого терминала свой TMK. Хост присылает рабочие ключи — например, тот, которым терминал шифрует PIN-блоки, — зашифрованными под TMK и меняет их так часто, как пожелает. Сам TMK меняется редко. Его загружают в защищённом помещении у производителя или, на старых банкоматах, вручную на месте: два техника, каждый со своим компонентом, по принципу разделённого знания.
Ручная загрузка была дорогой и хрупкой, и её вытеснили два подхода. DUKPT избавляет хост от необходимости хранить ключ на каждый терминал. Удалённая загрузка ключей с асимметричной криптографией по TR-34 позволяет хосту отправить новый TMK по сети терминалу, подтвердившему личность сертификатом. Банки перестали посылать людей с конвертами.