Encrypt-and-MAC
Порядок, при котором открытый текст шифруется и подписывается MAC по отдельности, а тег отправляется рядом с шифртекстом.
Это третья из трёх классических композиций наряду с Encrypt-then-MAC и MAC-then-encrypt. SSH выбрал её в 1990-х: MAC покрывает порядковый номер и открытый текст, а зашифрованный пакет уходит с тегом в открытом виде в конце.
Беллар и Наморе показали в 2000 году, что в общем случае схема небезопасна. MAC обещает подлинность, а не секретность, поэтому тегу позволено выдавать информацию об открытом тексте, а детерминированный MAC как минимум раскрывает равенство двух сообщений. SSH выручает порядковый номер, но получателю всё равно приходится расшифровывать, прежде чем что-то проверять. В 2013 году OpenSSH добавил варианты MAC с суффиксом -etm — что о степени уверенности говорит почти всё.