GCM-SIV
GCM-SIV ist ein AEAD-Modus, der übersteht, wenn jemand eine Nonce wiederverwendet – eine Eigenschaft, die man hoffentlich nie braucht und trotzdem gern hat.
AES-GCM ist schnell und überall im Einsatz, doch eine unter demselben Schlüssel wiederholte Nonce liefert dem Angreifer das XOR der Klartexte und die Möglichkeit zur Fälschung. GCM-SIV leitet aus Nonce und Klartext eine synthetische Nonce ab, sodass eine Wiederholung nur verrät, dass zwei Nachrichten identisch sind. Entworfen haben das Verfahren Gueron, Langley und Lindner; im April 2019 wurde es als RFC 8452 veröffentlicht.
Der Preis ist ein zusätzlicher Durchlauf über die Daten und eine etwas langsamere Verarbeitungskette als bei reinem GCM. Für Systeme, in denen die Nonce-Verwaltung ein Versprechen statt einer Garantie ist, ist das ein fairer Tausch.