MAC-then-encrypt
La construction qui calcule un MAC sur le texte clair puis chiffre le tout, un ordre qui s'est révélé fragile.
TLS 1.0 à 1.2 employaient cet ordre avec les chiffrements CBC. En 2002, Vaudenay a montré que la vérification du bourrage en CBC peut laisser fuiter de l'information, et en 2013 Lucky Thirteen a prouvé que de simples différences de temps dans la vérification du MAC suffisent à l'exploiter. Le problème est que le récepteur doit traiter le bourrage et le MAC dans le bon ordre, et toute différence observable entre les deux chemins d'erreur devient un oracle.
En 2000, Bellare et Namprempre avaient montré que le chiffrement suivi du MAC (encrypt-then-MAC) est l'ordre le plus sûr. Aujourd'hui, on recommande un mode AEAD comme AES-GCM, qui évite complètement le piège.