Riutilizzo del nonce
Riutilizzare un nonce con la stessa chiave è uno dei modi più rapidi per rompere un cifrario a flusso o una costruzione GCM.
Le modalità di tipo stream come CTR e GCM presuppongono che una coppia chiave-nonce non si ripeta mai. Due testi in chiaro cifrati con lo stesso keystream rivelano, combinando i testi cifrati, lo XOR dei testi in chiaro, e ciò basta per iniziare a rompere entrambi. In GCM il danno è peggiore: Antoine Joux mostrò nel 2006 che un nonce riutilizzato permette di recuperare la chiave di autenticazione e di falsificare messaggi.
I colpevoli abituali sono un contatore che riparte dopo un riavvio o un nonce casuale che collide dopo troppe cifrature. La soluzione è facile da enunciare e più difficile da mettere in pratica: contatori persistenti oppure una modalità resistente all'uso scorretto come AES-GCM-SIV.