Matter unterscheidet zwei Modi für den gesicherten Kanal: PASE (Password Authenticated Session Establishment, während des Commissioning mit dem Setup PIN als gemeinsamem Geheimnis) und CASE (Certificate Authenticated Session Establishment, nach dem Commissioning mit gegenseitigen X.509-Zertifikaten).

Die Matter-Sicherheit basiert auf zwei Phasen: PASE wird ausschließlich beim initialen Commissioning verwendet, nutzt SPAKE2+ mit dem Setup PIN als Einmalgeheimnis und kommt nach Abschluss des Commissioning nicht mehr zum Einsatz. CASE wird im laufenden Betrieb verwendet und stützt sich auf X.509-Zertifikate, die von der CA der jeweiligen Matter-Installation ausgestellt werden; es liefert eine gegenseitige Authentifizierung zwischen Gerät und Admin. Eingesetzt wird moderne Kryptographie: ECDH P-256, AES-128-CCM und SHA-256.

Eselsbrücke: PASE = Passwort (PIN) zum Einrichten, CASE = Certificate für den Dauerbetrieb - Setup PIN niemals als Langzeitgeheimnis missverstehen.