IND-CCA2
Как IND-CPA, но атакующий может ещё и просить оракул расшифровки открыть любой шифртекст по своему выбору, кроме самого испытательного.
IND-CCA2, адаптивная стойкость к атакам с выбранным шифртекстом, — сильнейшее из распространённых определений безопасности шифрования. Атакующий может изменять шифртексты и наблюдать реакцию получателя, поэтому даже небольшая правка должна давать бесполезный результат. Требование формализовали Рэкофф и Саймон в 1991 году.
RSA с PKCS#1 v1.5 ему не удовлетворяет. В 1998 году Блайхенбахер показал, что сообщений об ошибках расшифровщика достаточно для восстановления открытого текста, — ради этого и придумали OAEP. MAC после шифрования помогает лишь тогда, когда обработка ошибок не выдаёт, какая именно проверка не прошла.