选择密文安全

CCA 安全考虑主动攻击者：它不仅观察密文，还会自适应提交精心修改、拼接或重编码的密文，并利用明文、失败符号、错误类型或时间差作为反馈。禁止直接查询挑战密文只是避免让 oracle 原样回答挑战；真正的安全要求恰恰是其他相关查询也不能帮助判断挑战 bit。CCA2 允许挑战后继续试探，比挑战后关闭 oracle 的 CCA1 更强，也更贴近网络协议暴露解密接口的环境。

Textbook RSA公理库RSA 函数与 RSA 假设RSA function · RSA inversion assumption以模幂置换定义带陷门的 RSA 函数族，并假设随机像对高效对手难以求逆。 具有乘法可塑性，不满足 CCA 安全：由 $c=m^e$ 可构造 $c^{\prime }=c\cdot r^e$，解密得到 $mr$，解密预言机因而可帮助恢复信息。Textbook ElGamal公理库ElGamal 加密ElGamal encryption在循环群中用临时 Diffie–Hellman 共享值随机掩蔽群元素消息的公钥加密方案。 也可把 $(c_1,c_2)$ 改成 $(c_1,c_{2}t)$，使明文乘上公开 $t$；它在 DDH 下的 IND-CPA 结论不覆盖这类查询。

RSAES-OAEP 说明“使用了安全填充”仍不是完整安全陈述。OAEP 是一套确定的编码、掩码生成与解码检查流程；相关证明位于随机预言机模型，并依赖明确的 RSA 困难假设、哈希角色和消息—种子—模数长度条件。RFC 8017 规定互操作格式，却不把任意哈希、任意参数或任意冠以 OAEP 的实现自动提升为标准模型下的 CCA 证明。结论必须绑定到具体方案和归约，不能概括成“textbook RSA 加哈希即可”。

抽象游戏把所有无效密文统一映到 $\mathrm{\perp }$，实现也要尽量维持这项观察边界。若不同填充错误产生不同响应、长度或时间，攻击者即使拿不到明文也可能获得 padding oracle。CCA 安全同样不保证签名不可伪造，也通常不隐藏密文长度和访问模式；这些目标需要各自的接口与实验。

CCA 安全强化 CPA 安全公理库选择明文安全Chosen-plaintext attack security · CPA security对手可自适应查询所选明文加密时仍不能区分挑战消息的安全定义。，同时适用于公钥与私钥加密，只是两类方案向攻击者开放加密能力的方式不同。KEM 的 CCA 游戏公理库密钥封装机制（KEM）Key encapsulation mechanism · KEM用公钥产生共享会话密钥及其封装密文，并让私钥持有者恢复或拒绝该密钥的机制。把挑战改为真实封装密钥与独立随机密钥，并禁止直接解封装挑战 $c^{\ast }$；它不是把 PKE 消息游戏逐字换名。对称场景通常由 认证加密公理库认证加密Authenticated encryption · AE同时提供机密性与密文完整性的对称加密接口和安全目标。提供机密性与密文完整性；KEM–DEM 组合公理库KEM–DEM 混合加密KEM–DEM hybrid encryption · Hybrid public-key encryption以公钥 KEM 封装一次性会话密钥，再由认证 DEM 保护正文，并在匹配安全模型下组合成选择密文安全加密。还要求认证封装、nonce 与上下文，并匹配 KEM/DEM 的查询模型。安全证明约束抽象 oracle，协议实现还必须统一错误、验证全部关联字段并处理时间侧信道。