强制性网络层在计数器模式 (CTR) 下使用 AES-128，并使用强制性 CMAC 签名以确保消息真实性。在此基础上，可选的应用层提供七种模式：无应用加密、仅机密性、具有完全前向保密的机密性、真实性（机密性加 4 字节 CMAC 签名）、具有完全前向保密的真实性，以及两种不可知模式（增加了一个完全独立的应用层数据包计数器，产生 7 字节的开销）。终端节点使用哪种模式是设备属性，在其应用层格式说明中声明，而非按条消息协商。