AES-GCM으로 같은 키에서 nonce를 재사용했을 때의 위험으로 옳은 것은?

정답 3번

GCM은 카운터 모드 암호화와 인증 계산을 결합한다. 같은 키와 nonce를 재사용하면 같은 위치에 같은 키스트림이 적용되어 C1 XOR C2 = P1 XOR P2가 된다. 따라서 한 평문을 알면 대응하는 다른 평문의 일부를 알아낼 수 있다. 인증 계산도 nonce 재사용으로 위조 공격에 필요한 관계를 노출할 수 있으므로 태그가 붙었다고 무결성이 유지되는 것은 아니다. nonce는 비밀일 필요는 없지만 같은 키에서는 고유해야 한다.