Forbidden attack
Een aanval op AES-GCM die misbruik maakt van hergebruik van een nonce, waardoor de authenticatiesleutel bloot komt te liggen.
De techniek werd in 2006 beschreven door Antoine Joux in opmerkingen tijdens de standaardisatie van GCM door NIST. In 2016 toonden Böck en collega's aan hoe ze tegen TLS-implementaties te gebruiken was, en een internetscan van dat jaar vond HTTPS-servers die nonces hergebruikten. De naam is ironisch: wat verboden is, is nonce-hergebruik, dat de GCM-specificatie uitdrukkelijk uitsluit.
Bij twee berichten onder dezelfde nonce kan een aanvaller de keystream wegstrepen en een polynoomvergelijking oplossen om de authenticatiesleutel H te achterhalen. Daarna zijn willekeurige berichten te vervalsen.