密碼學基礎與應用
關於AES-GCM所使用的96位元nonce（IV）的說明，正確的是下列何者？
- A不需要保密，也可以用計數器產生，但在同一把金鑰下絕不能重複使用相同的值
- B被攻擊者得知就會洩漏明文，因此必須與金鑰一樣保密並妥善保管
- C每次都必須隨機選擇，若用每次加1的計數器產生就會失去安全性
查看答案與解析
正確答案：A. 不需要保密，也可以用計數器產生，但在同一把金鑰下絕不能重複使用相同的值
GCM的nonce所要求的，是在同一把金鑰下值不重複（唯一）。它不需要保密，以計算傳送次數的計數器產生也能滿足條件。若在同一把金鑰下使用相同的nonce，就會與CTR模式一樣洩漏明文的XOR，而且鑑別用的值也會被求出，標籤可能遭到偽造。隨機選擇nonce時，為避免偶然重複，會對同一把金鑰的加密次數設定上限（NIST SP 800-38D中為2^32次）。
- A. 正確。條件是唯一，並不要求無法預測。
- B. nonce通常與密文一起傳送，不需要保密。
- C. 只要值不重複，以計數器產生也是安全的。所要求的性質與CBC模式的IV不同。