IND-CCA2
Wie IND-CPA, aber der Angreifer darf zusätzlich ein Entschlüsselungsorakel beliebige Chiffretexte seiner Wahl öffnen lassen – nur den Challenge-Chiffretext nicht.
IND-CCA2, adaptive Sicherheit gegen Chosen-Ciphertext-Angriffe, ist der stärkste der gängigen Verschlüsselungsbegriffe. Der Angreifer kann Chiffretexte verändern und beobachten, wie der Empfänger reagiert; schon eine kleine Änderung soll daher nur Unbrauchbares ergeben. Rackoff und Simon formalisierten die Anforderung 1991.
RSA mit PKCS#1 v1.5 erfüllt sie nicht. Bleichenbacher zeigte 1998, dass Fehlermeldungen eines Entschlüsselers genügen, um Klartext zu gewinnen – weshalb OAEP entworfen wurde. Ein MAC nach der Verschlüsselung hilft nur, wenn die Fehlerbehandlung nicht verrät, welche Prüfung fehlgeschlagen ist.