选择明文安全

CPA 安全让攻击者先主动探索加密接口，再自行挑选最容易区分的一对消息。若在这种知识下仍不能判断挑战密文来自哪一条消息，方案就隐藏了加密 oracle 可能暴露的重复模式和结构。随机化或满足使用约束的唯一 nonce 通常必不可少，因为确定性加密允许攻击者预先加密候选并直接比较。等长限制则把密文长度这一通常公开的接口泄漏排除在挑战之外。

一次一密在均匀密钥只加密一条等长消息的一次性模型中达到完美保密，但同一密钥不能承担多次 IND-CPA oracle 查询；它是单密文安全的对照，不是可复用 CPA 方案。ElGamal理路ElGamal 加密ElGamal encryption在循环群中用临时 Diffie–Hellman 共享值随机掩蔽群元素消息的公钥加密方案。则是在指定循环群的 DDH 假设理路判定 Diffie–Hellman 假设Decisional Diffie–Hellman assumption · DDH assumption随机 Diffie–Hellman 三元组与以独立随机群元素结尾的三元组对高效判别器不可区分。下可证 IND-CPA 的随机化公钥方案；CDH 只说明共享群元素难计算，不能直接支持同一分布替换。对确定性方案，攻击者查询 $m_0$ 得到 $c_0$，挑战提交 $(m_0,m_1)$ 后只需比较挑战密文是否等于 $c_0$，即可完全区分；ECB 模式也会泄露相同分组模式，不满足一般 IND-CPA。挑战消息必须等长，否则密文长度本身即可区分。

在这里的优势规范下，确定性比较攻击以概率 $1$ 猜中，因此优势是 $1/2$，不是 $1$。另一常用规范把上述值乘 $2$；阅读归约常数时需先统一规范。查询 $m_0$ 本身并不被游戏禁止，安全性必须承受这种查询；被禁止的解密查询则属于 CCA 游戏的另一套规则。

CPA 只处理加密查询，不保证密文不可篡改；流密码或 CTR 中翻转密文 bit 会可预测地翻转明文 bit。nonce-based 方案的安全定理只覆盖游戏允许的 nonce 行为：攻击者可选择消息，不等于可以违反 nonce 唯一性后仍要求原保证成立。若系统无法可靠维护这一条件，应改用明确提供 nonce-misuse resistance 的方案，而不是把误用排除在文档之外。

IND-CPA 是对称和公钥加密的基础机密性目标，也是构造 CCA 安全与认证加密的起点。

与语义安全比较时，两端固定同一组公开允许的消息长度，并假定可由 $(1^{\lambda },pub,1^{\ell })$ uniform 多项式时间生成长度 $\ell$ 的合法替代消息；全 bit 串消息空间可取 $0^{\ell }$。在同一无状态、新鲜随机币模型中，语义实验的 uniform 联合采样器产生消息、辅助状态与隐藏目标；它可以保留第一阶段选择消息对时的随机状态，并使用模型允许的加密 oracle。模拟器得到公开视图、消息长度与相同辅助状态，不得到挑战密文或隐藏目标。两端的 oracle 权限、公开视图和合法 dummy 条件必须一致；私钥公开视图仅含安全参数及与秘密密钥独立的公共设置；nonce 或状态化变体需要另行匹配。

不可区分性理路不可区分性Computational indistinguishability任意高效判别器区分两个分布族的优势都是可忽略量。 提供游戏语言；私钥 SEM-CPA、公钥标准语义安全分别在对应模型下与 IND-CPA 等价，不能与私钥被动的 SEM-EAV理路语义安全Semantic security · Computational semantic security密文不让多项式时间攻击者显著获得明文任何可计算信息的安全性。 混为一谈。对称加密理路对称加密Symmetric encryption · Secret-key encryption发送方与接收方共享密钥的加密、解密算法体系。 和 公钥加密理路公钥加密Public-key encryption加密密钥公开而解密密钥保密的加密体系。 都可讨论 CPA，面对解密反馈或密文篡改则需提升到 CCA 安全理路选择密文安全Chosen-ciphertext attack security · CCA security对手还可查询非挑战密文解密时仍保持消息不可区分的安全定义。、密文完整性或认证加密。