Les clés font 128, 192 ou 256 bits. Avec l’IV standard de 96 bits, le compteur autorise jusqu’à 2³² − 2 blocs (environ 64 Gio) par message. SP 800-38D exige que les IV ne se répètent jamais sous une même clé et limite les IV de 96 bits générés aléatoirement à 2³² appels par clé : les clés à longue durée de vie utilisent donc des compteurs ou sont régulièrement remplacées.
Un nonce répété est catastrophique : il révèle le XOR des deux textes clairs et permet à un attaquant de retrouver la clé GHASH et de forger des tags pour n’importe quel message sous cette clé. Les tags de moins de 128 bits affaiblissent la résistance à la falsification et sont à éviter. AES-GCM-SIV (RFC 8452) en est la variante résistante aux erreurs d’utilisation.
Avec les instructions AES et de multiplication sans retenue, il est extrêmement rapide : sur un cœur Apple M4 Max, OpenSSL 3.6.5 chiffre environ 10,4 Go/s en AES-128-GCM et 8,8 Go/s en AES-256-GCM sur des tampons de 16 Kio. Identifiants : suites TLS 1.3 TLS_AES_128_GCM_SHA256 (0x1301) et TLS_AES_256_GCM_SHA384 (0x1302), enc JWE A128GCM et A256GCM, enveloppement de clé A256GCMKW, AES-GCM dans WebCrypto.