Encrypt-and-MAC

Encrypt-then-MAC、MAC-then-encryptと並ぶ、古典的な三つの合成方式の三つ目である。SSHは1990年代にこれを採用した。MACはシーケンス番号と平文を対象とし、暗号化されたパケットにタグが平文のまま付いて送られる。

BellareとNamprempreは2000年に、この方式が一般には安全でないことを示した。MACが約束するのは真正性であって秘匿性ではないので、タグが平文の情報を漏らしてもよい。決定的なMACなら、少なくとも二つのメッセージが同じであることは分かってしまう。SSHはシーケンス番号のおかげで切り抜けているが、受信側は検証の前にまず復号しなければならない。OpenSSHは2013年に、MACの -etm 版を加えた。自信の度合いについては、それで言い尽くされている。