Cada punto final tiene una clave de red registrada en el Centro de Servicio, y los mensajes se autentican con un CMAC calculado a partir de esa clave, por lo que no se aceptan telegramas de un dispositivo no registrado. Un matiz que vale la pena precisar, ya que la propia directriz de seguridad lo señala: se trata de un esquema de clave simétrica, por lo que cualquier parte que posea la clave, incluida una estación base a la que se haya conectado el dispositivo, podría en principio producir también un mensaje que se autentique como genuino. Esto es autenticidad, no la garantía más sólida de no repudio que se obtendría de un sistema basado en certificados. Los dispositivos bidireccionales reducen la exposición al derivar una clave de sesión nueva en cada conexión, de modo que una clave de sesión comprometida no expone todo el tráfico del dispositivo durante su vida útil.