选择明文安全

CPA 安全让攻击者先主动探索加密接口，再自行挑选最容易区分的一对消息。若在这种知识下仍不能判断挑战密文来自哪一条消息，方案就隐藏了加密 oracle 可能暴露的重复模式和结构。随机化或满足使用约束的唯一 nonce 通常必不可少，因为确定性加密允许攻击者预先加密候选并直接比较。等长限制则把密文长度这一通常公开的接口泄漏排除在挑战之外。

一次一密在均匀密钥只加密一条等长消息的一次性模型中达到完美保密，但同一密钥不能承担多次 IND-CPA oracle 查询；它是单密文安全的对照，不是可复用 CPA 方案。ElGamal公理库ElGamal 加密ElGamal encryption在循环群中用临时 Diffie–Hellman 共享值随机掩蔽群元素消息的公钥加密方案。则是在指定循环群的 DDH 假设公理库判定 Diffie–Hellman 假设Decisional Diffie–Hellman assumption · DDH assumption随机 Diffie–Hellman 三元组与以独立随机群元素结尾的三元组对高效判别器不可区分。下可证 IND-CPA 的随机化公钥方案；CDH 只说明共享群元素难计算，不能直接支持同一分布替换。对确定性方案，攻击者查询 $m_0$ 得到 $c_0$，挑战提交 $(m_0,m_1)$ 后只需比较挑战密文是否等于 $c_0$，即可完全区分；ECB 模式也会泄露相同分组模式，不满足一般 IND-CPA。挑战消息必须等长，否则密文长度本身即可区分。

CPA 只处理加密查询，不保证密文不可篡改；流密码或 CTR 中翻转密文 bit 会可预测地翻转明文 bit。nonce-based 方案的安全定理只覆盖游戏允许的 nonce 行为：攻击者可选择消息，不等于可以违反 nonce 唯一性后仍要求原保证成立。若系统无法可靠维护这一条件，应改用明确提供 nonce-misuse resistance 的方案，而不是把误用排除在文档之外。

IND-CPA 是对称和公钥加密的基础机密性目标，也是构造 CCA 安全与认证加密的起点。不可区分性公理库不可区分性Computational indistinguishability任意高效判别器区分两个分布族的优势都是可忽略量。 提供游戏语言；私钥 SEM-CPA、公钥标准语义安全分别在对应模型下与 IND-CPA 等价，不能与私钥被动的 SEM-EAV公理库语义安全Semantic security · Computational semantic security密文不让多项式时间攻击者显著获得明文任何可计算信息的安全性。 混为一谈。对称加密公理库对称加密Symmetric encryption · Secret-key encryption发送方与接收方共享密钥的加密、解密算法体系。 和 公钥加密公理库公钥加密Public-key encryption加密密钥公开而解密密钥保密的加密体系。 都可讨论 CPA，面对解密反馈或密文篡改则需提升到 CCA 安全公理库选择密文安全Chosen-ciphertext attack security · CCA security对手还可查询非挑战密文解密时仍保持消息不可区分的安全定义。、密文完整性或认证加密。