9F22

Certification Authority Public Key Index – Terminal é exatamente o que o 8F é do lado do cartão, mas reportado pelo terminal: qual chave raiz de CA, por RID, o próprio terminal de fato usou para verificar o certificado do emissor nesta transação. Como um terminal pode carregar múltiplas gerações de chaves de CA para o mesmo RID (chaves expiram e são substituídas ao longo do tempo), o 9F22 permite que um log a jusante ou os próprios registros de um emissor confirmem precisamente qual geração de chave estava ativa no campo no momento de uma transação específica, algo que o 8F sozinho do cartão não consegue dizer - o 8F diz qual chave o cartão espera; o 9F22 diz qual chave o terminal de fato usou. Uma divergência no que um terminal reporta no 9F22 entre transações de resto idênticas do mesmo período é um sinal forte de uma rotação de chave de CA acontecendo no meio da frota, que vale correlacionar com qualquer pico de falha de autenticação offline da mesma janela antes de assumir que o defeito está em cartões específicos em vez de num rollout de chave. Ver EMV 4.4 Book 3.