ノンス再利用
同じ鍵でノンスを使い回すことは、ストリーム暗号や GCM を破る最も手早い方法の一つ。
CTR や GCM のようなストリーム型のモードは、鍵とノンスの組が決して繰り返されないことを前提にしている。同じ鍵ストリームで暗号化された2つの平文は、暗号文同士を組み合わせると平文の XOR が漏れ、それだけで解読の足がかりになる。GCM では被害がさらに大きい。Antoine Joux は2006年に、ノンスを再利用すると攻撃者が認証鍵を復元してメッセージを偽造できることを示した。
よくある原因は、再起動でリセットされるカウンタや、暗号化回数が増えて衝突するランダムなノンスだ。対策は言うのは簡単でも実装は難しい。永続的なカウンタか、AES-GCM-SIV のような誤用耐性のあるモードを使う。