Terminalhuvudnyckel (TMK)
Den nyckel en betalterminal eller uttagsautomat delar med sin värd, och som allt annat krypteras under när det skickas dit.
I det klassiska master/session-upplägget får varje terminal en egen TMK. Värden skickar sedan arbetsnycklar, som den nyckel terminalen krypterar PIN-block med, krypterade under TMK:n och byter dem så ofta den vill. Själva TMK:n byts sällan. Den laddas i en säker lokal hos tillverkaren eller, på äldre uttagsautomater, för hand på plats av två tekniker med varsin komponent under delad kunskap.
Den manuella laddningen var dyr och sårbar, och två lösningar tog över. DUKPT gör att värden inte behöver hålla en nyckel per terminal alls. Fjärrladdning med asymmetrisk kryptering enligt TR-34 låter värden skicka en ny TMK över nätet till en terminal som bevisat sin identitet med certifikat. Bankerna slapp skicka ut folk med kuvert.