Атака с выбором шифртекста
При атаке с выбором шифртекста противник получает оракул расшифрования для произвольных шифртекстов и по ответам узнаёт что-то о ключе.
Атакующий может отправлять оракулу расшифрования любые шифртексты и наблюдать результат. Это сильнее атаки с выбором открытого текста, потому что допускает манипуляцию шифртекстами. Именно так происходит, когда сервер расшифровывает пользовательские данные и отвечает по-разному в зависимости от того, корректен ли padding.
Классический пример — атака Блейхенбахера 1998 года на RSA с PKCS #1 v1.5. Тот, кто сегодня проектирует схемы шифрования, стремится к стойкости IND-CCA2, чтобы исключить такое. В классической криптографии оракулы расшифрования встречались редко, но принцип тот же.