Kart sahibi doğrulama yöntemi (CVM)
Kartı tutan kişinin kartın sahibi olduğunu kanıtlaması gereken adım: PIN, imza, telefonun biyometrisi ya da hiçbir şey.
EMV’de çip, öncelik sırasına göre bir CVM listesi taşır; terminal, her iki tarafın da desteklediği bir yöntem bulana dek listeyi baştan sona gezer. Çevrimdışı PIN’i çipin kendisi doğrular. Çevrimiçi PIN, PIN bloğu olarak şifrelenip kartı veren bankaya gönderilir. İmza ise yorgun bir kasiyerin iki karalamayı karşılaştırması demektir; Visa ve Mastercard 2018’de Kuzey Amerika’da imza zorunluluğunu kaldırdı. “No CVM” küçük temassız alışverişleri kapsar; CDCVM ise telefonun sahibini parmak izi ya da yüzle zaten doğruladığı anlamına gelir.
Bu pazarlık aynı zamanda bir saldırı yüzeyidir. 2010’da Steven Murdoch’un Cambridge’deki ekibi, ortadaki bir adamın terminale PIN’in kabul edildiğini, karta ise işlemin imzayla onaylanacağını düşündürebildiğini gösterdi. Her PIN işe yarıyordu ve fiş neşeyle “PIN doğrulandı” yazıyordu.