Schlüssel sind 128, 192 oder 256 Bit lang. Mit dem Standard-IV von 96 Bit erlaubt der Zähler bis zu 2³² − 2 Blöcke (etwa 64 GiB) pro Nachricht. SP 800-38D verlangt, dass sich IVs unter einem Schlüssel nie wiederholen, und begrenzt zufällig erzeugte 96-Bit-IVs auf 2³² Aufrufe pro Schlüssel; langlebige Schlüssel nutzen daher Zähler oder werden gewechselt.
Eine wiederholte Nonce ist katastrophal: Das XOR der beiden Klartexte wird sichtbar, und ein Angreifer kann den GHASH-Schlüssel rekonstruieren und für beliebige Nachrichten unter diesem Schlüssel Tags fälschen. Tags unter 128 Bit schwächen den Schutz vor Fälschungen und werden am besten vermieden. AES-GCM-SIV (RFC 8452) ist die missbrauchsresistente Variante.
Mit Prozessorbefehlen für AES und übertragslose Multiplikation ist es extrem schnell: Auf einem Kern eines Apple M4 Max verschlüsselt OpenSSL 3.6.5 mit Puffern von 16 KiB etwa 10,4 GB/s mit AES-128-GCM und 8,8 GB/s mit AES-256-GCM. Bezeichner: die Suites von TLS 1.3 TLS_AES_128_GCM_SHA256 (0x1301) und TLS_AES_256_GCM_SHA384 (0x1302), bei JWE enc A128GCM und A256GCM, Key Wrap A256GCMKW, WebCrypto AES-GCM.