Forbidden attack

この手法は、2006年にNISTがGCMを標準化する過程で、アントワーヌ・ジューがコメントとして記述した。2016年にはBöckらがTLS実装への応用を示し、同年のインターネットスキャンで、ナンスを再利用するHTTPSサーバーが見つかった。名前は皮肉めいている。禁じられた行為とはナンスの再利用で、GCMの仕様が明確に禁じているものだ。

同じナンスで暗号化された二つのメッセージがあれば、攻撃者は鍵ストリームを打ち消し、多項式の方程式を解いて認証鍵Hを復元できる。その後は任意のメッセージを偽造できる。