选择密文安全

CCA 安全考虑主动攻击者：它不仅观察密文，还会自适应提交精心修改、拼接或重编码的密文，并利用明文、失败符号、错误类型或时间差作为反馈。禁止直接查询挑战密文只是避免让 oracle 原样回答挑战；真正的安全要求恰恰是其他相关查询也不能帮助判断挑战 bit。CCA2 允许挑战后继续试探，比挑战后关闭 oracle 的 CCA1 更强，也更贴近网络协议暴露解密接口的环境。

Textbook RSA理路RSA 函数与 RSA 假设RSA function · RSA inversion assumption以模幂置换定义带陷门的 RSA 函数族，并假设随机像对高效对手难以求逆。 具有乘法可塑性，不满足 CCA 安全：由 $c=m^e$ 可构造 $c^{\prime }=c\cdot r^e$，解密得到 $mr$，解密预言机因而可帮助恢复信息。

对Textbook ElGamal理路ElGamal 加密ElGamal encryption在循环群中用临时 Diffie–Hellman 共享值随机掩蔽群元素消息的公钥加密方案。，采用合法的定长群元素编码，选两条不同且等长的群消息 $m_0,m_1$，并取公开的 $t\in G\setminus \{1\}$。收到挑战 $c^{\ast }=(c_1,c_2)$ 后，查询 $c^{\prime }=(c_1,c_{2}t)$；群中的消去律保证 $c^{\prime }\ne c^{\ast }$，所以这是合法的 CCA2 查询。oracle 返回 $m_{b}t$，乘以公开可算的 $t^{-1}$ 就恢复 $m_b$，再与两条候选消息比较即可确定挑战 bit。它在 DDH 假设下的 IND-CPA 安全结论仍成立：CPA 对手没有执行这一步所需的解密 oracle。

RSAES-OAEP 说明“使用了安全填充”仍不是完整安全陈述。OAEP 是一套确定的编码、掩码生成与解码检查流程；相关证明位于随机预言机模型，并依赖明确的 RSA 困难假设、哈希角色和消息—种子—模数长度条件。RFC 8017 规定互操作格式，却不把任意哈希、任意参数或任意冠以 OAEP 的实现自动提升为标准模型下的 CCA 证明。结论必须绑定到具体方案和归约，不能概括成“textbook RSA 加哈希即可”。

抽象游戏把所有无效密文统一映到 $\mathrm{\perp }$，实现也要尽量维持这项观察边界。若不同填充错误产生不同响应、长度或时间，攻击者即使拿不到明文也可能获得 padding oracle。CCA 安全同样不保证签名不可伪造，也通常不隐藏密文长度和访问模式；这些目标需要各自的接口与实验。

CCA 安全强化 CPA 安全理路选择明文安全Chosen-plaintext attack security · CPA security对手可自适应查询所选明文加密时仍不能区分挑战消息的安全定义。，同时适用于公钥与私钥加密，只是两类方案向攻击者开放加密能力的方式不同。KEM 的 CCA 游戏理路密钥封装机制（KEM）Key encapsulation mechanism · KEM用公钥产生共享会话密钥及其封装密文，并让私钥持有者恢复或拒绝该密钥的机制。把挑战改为真实封装密钥与独立随机密钥，并禁止直接解封装挑战 $c^{\ast }$；它不是把 PKE 消息游戏逐字换名。对称场景通常由 认证加密理路认证加密Authenticated encryption · AE同时提供机密性与密文完整性的对称加密接口和安全目标。提供机密性与密文完整性；KEM–DEM 组合理路KEM–DEM 混合加密KEM–DEM hybrid encryption · Hybrid public-key encryption以 KEM 产生会话密钥、DEM 加密正文，解释正确性、选择密文安全的组合证明，以及认证绑定、nonce 与重放的不同职责。还要求认证封装、nonce 与上下文，并匹配 KEM/DEM 的查询模型。安全证明约束抽象 oracle，协议实现还必须统一错误、验证全部关联字段并处理时间侧信道。