为什么随机IV对AES-CBC没有问题而对AES-GCM没有问题

Question

我一直在研究AES-GCM/AES-CTR，主要是为AEAD。我还没有用这个实现任何东西，但从我所读到的一切来看，基本上nonce只是一个短的IV，有一个内部计数器用于每个加密调用。开发人员/需要在32位计数器循环返回之前确保nonce更改，否则相同的nonce(IV)可能与相同的密钥一起使用，这可能会加密相同的纯文本并泄漏加密密钥。

我真的不明白为什么AES-CBC可以使用随机IV但我读到的一些东西表明，对AES-GCM使用随机nonce(IV)是一个坏主意。我唯一能想到的是AES-CBC的IV比AES-GCM的nonce长，所以AES-GCM重复nonce的可能性更大。

我需要加密的数据是从几个字节到10-20 GB的任何地方。我知道AES-GCM有一个数据大小的限制(~60GB)，它可以在计数器周期之前加密。我可以绕过这个限制，因为我的数据低于这个限制。

有人能解释一下为什么AES-GCM不建议使用随机瞬时吗？

Answer 1

GCM基于CTR模式，如果用相同的键重用一个nonce（非常好的示例），它会继承多次pad（或两次pad）问题。如果在CBC模式下重用IV，那么观察者唯一能检测到的就是消息前缀的相等性。

观察者可以通过CBC模式检测到以前发送的消息被再次发送，这可能不会给他们太多的信息，但如果关于内容结构的某些信息已知，CTR为他们提供了推断消息内容的能力。

AES-GCM模式的nonce预计为96位长。如果您随机生成nonce，那么您需要在2^n/2=2⁴⁸消息之后生成一个重复的nonce（请参见生日问题）。也就是说，如果您使用相同的密钥生成了2个^48个加密消息，则生成重复nonce的概率为50%。这是相当多的信息，但它可以发生得更早。