Las claves son de 128, 192 o 256 bits. Con el IV estándar de 96 bits, el contador admite hasta 2³² − 2 bloques (unos 64 GiB) por mensaje. SP 800-38D exige que los IV nunca se repitan con una misma clave y limita los IV de 96 bits generados aleatoriamente a 2³² invocaciones por clave, así que con claves de larga duración se usan contadores o se cambia de clave.
Un nonce repetido es catastrófico: filtra el XOR de los dos textos en claro y permite a un atacante recuperar la clave GHASH y falsificar etiquetas para cualquier mensaje con esa clave. Las etiquetas de menos de 128 bits debilitan la resistencia a la falsificación y es mejor evitarlas. AES-GCM-SIV (RFC 8452) es la variante resistente al mal uso.
Con las instrucciones de AES y de multiplicación sin acarreo es extremadamente rápido: en un núcleo de un Apple M4 Max, OpenSSL 3.6.5 cifra unos 10,4 GB/s con AES-128-GCM y 8,8 GB/s con AES-256-GCM sobre búferes de 16 KiB. Identificadores: los conjuntos de TLS 1.3 TLS_AES_128_GCM_SHA256 (0x1301) y TLS_AES_256_GCM_SHA384 (0x1302), enc de JWE A128GCM y A256GCM, la envoltura de clave A256GCMKW y AES-GCM de WebCrypto.