Die obligatorische Netzwerkschicht verwendet AES-128 im Counter-Modus (CTR) mit einer obligatorischen CMAC-Signatur zur Nachrichtenauthentifizierung. Darüber hinaus bietet eine optionale Anwendungsschicht sieben Modi: keine Anwendungskryptografie, nur Vertraulichkeit, Vertraulichkeit mit Perfect Forward Secrecy, Authentizität (Vertraulichkeit plus eine 4-Byte-CMAC-Signatur), Authentizität mit Perfect Forward Secrecy sowie zwei Agnostizitätsmodi, die einen vollständig separaten Anwendungsschicht-Paketzähler für 7 Bytes Overhead hinzufügen. Welcher Modus von einem Endpunkt verwendet wird, ist eine Geräteeigenschaft, die in dessen Anwendungsschicht-Formatbeschreibung deklariert wird und nicht pro Nachricht ausgehandelt wird.