| 后果一 | 两条密文异或即得明文异或，机密性受损 |
|---|---|
| 后果二 | GHASH 认证密钥可被恢复，完整性失效 |
| 控制手段 | 随机 96 位 nonce 的单密钥调用上限 2^32 次 |
| 更大规模 | 改用固定字段+计数器的确定性构造，或频繁换密钥 |
非安全示例与修正思路
非安全示例与修正思路
反例：restart 后 nonce 计数器归零但密钥未变 → nonce 复用
修正：密钥与计数器绑定（持久化计数器），或每次重启换新密钥
修正：批量场景按设备/会话派生唯一子密钥即使只泄漏两条相关消息也足以破坏认证；含重启、并发与异常重试的系统要专门审计 nonce 生成路径。