Kortinnehavarverifiering (CVM)
Det steg i en kortbetalning som ska visa att personen som håller kortet också äger det, med PIN, signatur, telefonens biometri eller ingenting alls.
I EMV bär chipet en CVM-lista i prioritetsordning, och terminalen går igenom den tills den hittar en metod som båda parter stöder. Offline-PIN kontrolleras av chipet självt. Online-PIN krypteras till ett PIN-block och skickas till utgivaren. Signatur innebär att en trött kassör jämför två krumelurer, och Visa och Mastercard slutade kräva den i Nordamerika 2018. "No CVM" gäller små kontaktlösa köp. CDCVM betyder att telefonen redan har verifierat ägaren med fingeravtryck eller ansikte.
Förhandlingen är också en attackyta. Steven Murdochs grupp i Cambridge visade 2010 att en mellanhand kunde få terminalen att tro att PIN-koden var godkänd medan kortet trodde att köpet skulle signeras. Vilken kod som helst fungerade, och kvittot påstod att PIN-koden var verifierad.