Welche Aussage über die 96-Bit-Nonce (IV) bei AES-GCM ist richtig?

Antwort: A. Sie muss nicht geheim sein und darf mit einem Zähler erzeugt werden, doch derselbe Wert darf mit demselben Schlüssel nicht zweimal verwendet werden

Von einer GCM-Nonce wird verlangt, dass sich ihre Werte unter demselben Schlüssel nicht wiederholen (eindeutig sind). Geheim muss sie nicht sein, und auch ein Zähler, der die Sendevorgänge zählt, erfüllt die Bedingung. Wird dieselbe Nonce mit demselben Schlüssel verwendet, fließt wie im CTR-Modus das XOR der Klartexte ab, und zusätzlich lässt sich der für die Authentifizierung verwendete Wert ermitteln, sodass Tags gefälscht werden können. Werden Nonces zufällig gewählt, ist die Zahl der Verschlüsselungen mit einem Schlüssel begrenzt, um zufällige Wiederholungen zu vermeiden (laut NIST SP 800-38D 2^32-mal).