Encrypt-then-MAC
L'ordine che decide se cifratura e protezione dell'integrità si sommano davvero.
Un cifrario e un MAC si possono combinare in tre ordini. Con Encrypt-then-MAC si cifra prima e si autentica poi il testo cifrato, così il ricevente verifica il tag prima ancora di toccare la decifratura. MAC-then-encrypt ed encrypt-and-MAC hanno prodotto una lunga serie di vulnerabilità. Lucky Thirteen (2013) sfruttò le differenze di tempo con cui TLS-CBC gestiva padding e MAC, conseguenza diretta del calcolo del MAC prima della cifratura.
Controllare prima il tag significa che un testo cifrato contraffatto o con padding errato viene scartato prima di esaminare il padding, quindi un padding oracle non ha nulla da osservare. È l'ordine scelto dalla maggior parte dei protocolli moderni, e il motivo per cui gli standard spingono verso AEAD invece che verso combinazioni fatte in casa.