Comprometimento de chave
A propriedade de que um texto cifrado só pode ser aberto por uma única chave, o que muitas cifras AEAD modernas não garantem.
A criptografia autenticada garante que a mensagem não foi modificada. Ela não garante que a chave esteja atrelada ao texto cifrado. O AES-GCM e o ChaCha20-Poly1305 podem, em casos construídos, permitir que um mesmo texto cifrado seja verificado com duas chaves diferentes.
Isso não é só nota de rodapé. Em criptografia baseada em senha ou em sistemas com vários destinatários, um atacante pode montar um arquivo que abre com mais de uma senha, e nada avisa o usuário até que ele confie no conteúdo. A pesquisa sobre o problema ganhou força ao longo da década de 2020.