IND-CPA
Схема шифрования IND-CPA-стойка, если атакующий не может определить, какое из двух выбранных им сообщений было зашифровано, даже имея доступ к оракулу шифрования.
IND означает indistinguishability — неотличимость, CPA — chosen-plaintext attack, атака с выбором открытого текста. Атакующий может запрашивать шифртексты для любых открытых текстов по своему выбору, а затем должен угадать, какое из двух известных сообщений скрыто за контрольным шифртекстом. Идею формализовали Гольдвассер и Микали в 1982 году, и теперь это минимальная планка, чтобы называть схему шифрования безопасной.
ECB её не проходит категорически: одинаковый открытый текст даёт одинаковый шифртекст, и атакующему достаточно сравнить. IND-CPA-схема обязана рандомизировать вывод — обычно новым IV или nonce для каждого сообщения.