Cifrar y luego MAC
El orden que decide si el cifrado y la protección de integridad realmente suman.
Un cifrador y un MAC pueden combinarse en tres órdenes. Cifrar y luego MAC cifra primero y autentica después el texto cifrado, así que el receptor verifica la etiqueta antes de tocar el descifrado. MAC y luego cifrar, o cifrar y MAC a la vez, han producido una larga lista de vulnerabilidades. Lucky Thirteen (2013) explotó diferencias de tiempo en cómo TLS-CBC manejaba el padding y el MAC, una consecuencia directa de calcular el MAC antes de cifrar.
Verificar primero significa que un texto cifrado falsificado o con padding incorrecto se rechaza antes de examinar el padding, así que el padding oracle no tiene nada que observar. Es el orden que eligen la mayoría de protocolos modernos, y la razón por la que los estándares empujan hacia AEAD en lugar de combinaciones caseras.