Emplacements : 9A pour l’authentification PIV (connexion, PIN requis), 9C pour la signature numérique (documents, e-mail, code ; PIN à chaque signature), 9D pour la gestion des clés (déchiffrement et accord de clé), 9E pour l’authentification de la carte (accès physique, généralement sans PIN), ainsi que les emplacements de gestion des clés retirés 82 à 95 et un emplacement d’attestation F9 sur les YubiKey. Les clés sont RSA-2048, ECC P-256 ou P-384 (les jetons plus récents ajoutent d’autres algorithmes) ; les certificats sont au format X.509.
Comme la clé ne quitte jamais la carte, PIV est utilisé au-delà des administrations pour SSH (via PKCS #11), la signature de code avec des clés conservées dans du matériel, l’ouverture de session Windows par carte à puce et mTLS. Les certificats d’attestation de l’appareil prouvent qu’une clé a été générée sur le jeton, ce que les autorités de certification peuvent exiger pour les clés de signature de code. Le vérificateur d’attestation YubiKey vérifie ce type d’attestation.