Encrypt-and-MAC
L'ordine di composizione in cui il testo in chiaro viene cifrato e autenticato con un MAC separatamente, e il tag viaggia accanto al testo cifrato.
È la terza delle tre composizioni classiche, accanto a Encrypt-then-MAC e MAC-then-encrypt. SSH la adottò negli anni Novanta: il MAC copre un numero di sequenza e il testo in chiaro, e il pacchetto cifrato parte con il tag accodato in chiaro.
Nel 2000 Bellare e Namprempre dimostrarono che, in generale, non è sicura. Un MAC garantisce l'autenticità, non la riservatezza, quindi il tag può rivelare informazioni sul testo in chiaro; un MAC deterministico, come minimo, svela quando due messaggi sono uguali. SSH se la cava grazie al numero di sequenza, ma il destinatario deve comunque decifrare prima di poter verificare qualcosa. OpenSSH ha aggiunto nel 2013 le varianti -etm dei suoi MAC, il che dice quasi tutto sul livello di fiducia.