Encrypt-then-MAC
A ordem que decide se criptografia e proteção de integridade realmente se somam.
Uma cifra e um MAC podem ser combinados de três maneiras. No Encrypt-then-MAC, cifra-se primeiro e autentica-se o texto cifrado, de modo que o receptor verifica a tag antes de tocar na decifragem. MAC-then-encrypt e encrypt-and-MAC produziram uma longa lista de vulnerabilidades. O Lucky Thirteen (2013) explorou diferenças de tempo no tratamento de padding e MAC no TLS-CBC, consequência direta de calcular o MAC antes de cifrar.
Verificar a tag primeiro significa que um texto cifrado forjado ou com padding errado é rejeitado antes de qualquer exame do padding, então um padding oracle não tem nada para observar. É a ordem que a maioria dos protocolos modernos adota, e o motivo de os padrões empurrarem para AEAD em vez de combinações caseiras.