Galois/Sayaç Modu
Güvenlik

GCM'nin beton güvenlik modelinde güvenli olduğu kanıtlanmıştır. Rastgele bir permütasyondan ayırt edilemeyen bir blok şifresini alarak güvenli hale getirilir. Ancak, güvenlik aynı anahtarla gerçekleştirilen her şifreleme için benzersiz bir başlatma vektörü seçmeye bağlıdır. (bkz. dizi şifresi saldırısı).Herhangi bir anahtar ve başlatma vektörü kombinasyonu için, GCM düz metni (64 GiB) 239−256 bit şifrelemesiyle sınırlıdır. NIST Özel Yayını 800-38D, başlatma vektörü seçimi için yönergeler içerir.
Kimlik doğrulama gücü, tüm simetrik ileti kimlik doğrulama kodlarında olduğu gibi kimlik doğrulama etiketinin uzunluğuna bağlıdır. GCM'le daha kısa kimlik doğrulama etiketlerinin kullanılması önerilmez. T ile gösterilen etiketin bit uzunluğu bir güvenlik parametresidir. Genel olarak, t beş değerden herhangi biri olabilir: 128, 120, 112, 104 veya 96. Bazı uygulamalar için t, 64 veya 32 olabilir, ancak bu iki etiket uzunluğunun kullanımı verilerinin uzunluğunu ve anahtarın ömrünü kısıtlar. NIST SP 800-38D'deki Ek C bu kısıtlamalar için kılavuz sağlar. (örneğin, t = 32 ve maksimum paket boyutu 2 10 bayt ise, kimlik doğrulama şifre çözme işlevi en fazla 211 kez çağrılmalıdır; t = 64 ve maksimum paket boyutu 2 15 ise, kimlik doğrulama şifre çözme işlevi en fazla 2 32 kez çağrılmalıdır).
Herhangi bir ileti kimlik doğrulama kodunda olduğu gibi, eğer tehdit rastgele bir t- bit etiketi seçerse, olasılığı 2 - t şeklinde olan veriler için doğru olması beklenir. Ancak, GCM ile rakip başarım oranının benzerliğini n kelimeli etiketleri (şifreli metnin toplam uzunluğu artı herhangi bir ek doğrulanmış veri (AAD)) seçerek ve olasılığı 2 - t faktörle başarı olasılığı artırabilir. Buna rağmen unutulmamalıdır ki bu optimal etiketlerin hala keyfi olarak büyük t için algoritmanın varlığını sürdürme ölçüsü 1 − n⋅2−t tarafından domine edilmektedir. Ayrıca, GCM çok kısa etiket uzunlukları ya da çok uzun iletilerde kullanım için uygun değildir.
Ferguson ve Saarinen, saldırganın güvenliğinin alt sınırını karşılayan GCM kimlik doğrulamasına karşı en uygun saldırılarının nasıl gerçekleştirebileceğini bağımsız olarak açıkladı. Ferguson, eğer n kodlamadaki toplam blok sayısını (GHASH işlevine giriş) gösterirse, o zaman yaklaşık olarak n ⋅2 - t olasılığıyla başarılı olması beklenen hedeflenmiş bir şifreleme metni sahtekarlığı oluşturma yöntemi olduğunu gösterilmiş olur. Etiket uzunluğu t 128'den kısaysa, bu saldırıda başarılı olan her sahte işlem, sonraki hedeflenen sahteciliklerde başarılı olma olasılığını artırır ve hash alt anahtarı H hakkında bilgi sızdırır. Sonunda, H tamamen tehlikeye girebilir ve kimlik doğrulama güvencesi tamamen kaybolabilir.
Bu saldırıdan bağımsız olarak bir düşman,kimlik doğrulamasına yönelik belirli bir giriş için birçok farklı etiketi sistematik olarak tahmin etmeye çalışabilir ve böylece bunların (veya daha fazlasının) sonunda geçerli kabul edilme olasılığını artırabilir. Bu nedenle, GCM'yi uygulayan sistem veya protokol, her bir anahtar için başarısız doğrulama girişimi sayısını izlemeli ve gerekirse sınırlandırmalıdır.
Saarinen, GCM'nin zayıf anahtarlarını tarif etti. Bu çalışma, polinom hash tabanlı kimlik doğrulamanın nasıl çalıştığı hakkında bazı değerli bilgiler vermektedir. Daha kesin olarak, bu çalışma, geçerli bir GCM mesajı verildiğinde, bir GCM mesajının, n × 128 bit uzunluğundaki mesajlar için yaklaşık n⋅2−128 olasılığı ile çalışabilmesini açıkladı. Ancak, bu çalışma önceden bilindiğinden ötürü daha etkili bir saldırı gösterememektedir; bu yazının gözlemindeki bir başarı olasılığı INDOCRYPT 2004 analizinden yardımcı önerme 2 ile aynıdır (w = 128 ve l = n × 128 ). Saarinen da GCM varyantı olan Sophie Germain Sayaç Modu, (SGCM) Sophie Germain asal'a dayanır.