Запрещённая атака
Атака на AES-GCM, использующая повторное применение nonce, что раскрывает ключ аутентификации.
Технику описал Антуан Жу в комментариях в ходе стандартизации GCM в NIST в 2006 году. В 2016 году Бёк с коллегами показали, как её применить против реализаций TLS, и сканирование интернета в тот год обнаружило HTTPS-серверы, повторно использующие nonce. Название ироничное: запретное действие — повтор nonce, который спецификация GCM прямо запрещает.
Имея два сообщения, зашифрованных с одним nonce, атакующий может сократить гамму и решить полиномиальное уравнение, восстановив ключ аутентификации H. После этого можно подделывать произвольные сообщения.