As chaves têm 128, 192 ou 256 bits. Com o IV padrão de 96 bits, o contador permite até 2³² − 2 blocos (cerca de 64 GiB) por mensagem. O SP 800-38D exige que os IVs nunca se repitam com a mesma chave e limita IVs de 96 bits gerados aleatoriamente a 2³² invocações por chave; por isso, chaves de longa duração usam contadores ou são trocadas por novas.
Um nonce repetido é catastrófico: ele vaza o XOR dos dois textos claros e permite que um atacante recupere a chave do GHASH e forje tags para qualquer mensagem com essa chave. Tags com menos de 128 bits enfraquecem a resistência a falsificações, e é melhor evitá-las. O AES-GCM-SIV (RFC 8452) é a variante resistente a uso indevido.
Com instruções de AES e de multiplicação carry-less, ele é extremamente rápido: em um núcleo do Apple M4 Max, o OpenSSL 3.6.5 criptografa cerca de 10,4 GB/s com AES-128-GCM e 8,8 GB/s com AES-256-GCM em buffers de 16 KiB. Identificadores: as cipher suites do TLS 1.3 TLS_AES_128_GCM_SHA256 (0x1301) e TLS_AES_256_GCM_SHA384 (0x1302), enc do JWE A128GCM e A256GCM, key wrap A256GCMKW e, no WebCrypto, AES-GCM.