Encrypt-and-MAC
De volgorde waarbij de platte tekst afzonderlijk wordt versleuteld en van een MAC wordt voorzien, waarna de tag naast de cijfertekst wordt verstuurd.
Dit is de derde van de drie klassieke composities, naast Encrypt-then-MAC en MAC-then-encrypt. SSH koos hiervoor in de jaren negentig: de MAC dekt een volgnummer en de platte tekst, en het versleutelde pakket gaat met de tag in het openbaar erachter aan de lijn op.
Bellare en Namprempre toonden in 2000 aan dat dit in het algemeen niet veilig is. Een MAC belooft authenticiteit, geen geheimhouding, dus de tag mag informatie over de platte tekst lekken. Een deterministische MAC verraadt minstens wanneer twee berichten gelijk zijn. SSH komt ermee weg dankzij het volgnummer, maar de ontvanger moet nog steeds eerst ontsleutelen voordat er iets gecontroleerd kan worden. OpenSSH voegde in 2013 -etm-varianten van zijn MAC's toe, wat veel zegt over het vertrouwen in deze opzet.