Matter distingue deux modes de canal sécurisé : PASE (Password Authenticated Session Establishment), utilisé pendant le commissioning avec le Setup PIN comme secret partagé, et CASE (Certificate Authenticated Session Establishment), utilisé après commissioning avec authentification mutuelle par certificats X.509.

La sécurité Matter se découpe en deux phases distinctes. PASE est limité au commissioning initial : il s'appuie sur une variante de SPAKE2+ avec le Setup PIN comme secret one-time partagé ; une fois le device commissionné, PASE n'est plus utilisé. CASE prend le relais en régime de croisière : il repose sur des certificats X.509 émis par la CA propre à chaque fabric, avec authentification mutuelle device <-> admin. La cryptographie sous-jacente est moderne : ECDH sur courbe NIST P-256 pour l'échange de clés, AES-128-CCM pour le chiffrement symétrique, SHA-256 pour le hash.

Mnémo : PASE = mot de Passe (Setup PIN, one-shot pendant commissioning), CASE = Certificat (X.509, vie opérationnelle). Si on parle de Setup PIN en runtime, c'est faux : le PIN ne sert plus après commissioning.