5.1.1. Nonce Reuse (Riutilizzo del nonce)

5.1.1. Nonce Reuse (Riutilizzo del nonce)

Il riuso accidentale dello stesso nonce da due invocazioni dell'operazione di cifratura GCM, con la stessa chiave ma con valori distinti di testo in chiaro, compromette la riservatezza dei testi in chiaro protetti in quelle due invocazioni e compromette tutta la protezione di autenticità e integrità fornita da quella chiave. Per questo motivo, GCM DOVREBBE essere usato solo quando l'unicità del nonce può essere garantita con certezza. La caratteristica di progetto che GCM usa per ottenere latenza minima causa le vulnerabilità negli usi successivi della chiave. Si noti che è accettabile immettere più volte lo stesso valore di nonce nell'operazione di decifratura.

Le conseguenze per la sicurezza sono molto gravi se un attaccante osserva due testi cifrati creati usando lo stesso nonce e la stessa chiave, a meno che i valori di testo in chiaro e AD in entrambe le invocazioni dell'operazione di cifratura non siano identici. In primo luogo, si verifica una perdita di riservatezza perché l'attaccante sarà in grado di ricostruire l'OR esclusivo bit a bit dei due testi in chiaro. In secondo luogo, si verifica una perdita di integrità perché l'attaccante sarà in grado di recuperare la chiave di hash interna usata per fornire l'integrità dei dati. La conoscenza di questa chiave rende banali le successive falsificazioni.