Ataque Forbidden
Ataque contra AES-GCM que aprovecha la reutilización de un nonce, lo que expone la clave de autenticación.
La técnica fue descrita por Antoine Joux en comentarios durante la estandarización de GCM por el NIST en 2006. En 2016 Böck y colaboradores mostraron cómo usarla contra implementaciones de TLS, y un escaneo de internet ese mismo año encontró servidores HTTPS que reutilizaban nonces. El nombre es irónico: lo prohibido es reutilizar el nonce, algo que la especificación de GCM prohíbe expresamente.
Con dos mensajes cifrados bajo el mismo nonce, el atacante puede cancelar el keystream y resolver una ecuación polinómica para recuperar la clave de autenticación H. Después puede falsificar mensajes arbitrarios.