nothing transform）。OAEP 满足以下两个目标：当 OAEP 与任何陷门置换一起使用时，OAEP 的原始版本（Bellare/Rogaway, 1994）在随机预言机模型中显示了一种“明文知晓性”的形式（他们声称这意味着对选择密文攻击是安全的）。然而随后的结果与这一点相抵触，表明 OAEP 仅是 IND-CCA1 安全的。但是与 RSA-OAEP 的情况一样，当将OAEP与使用标准加密指数的 RSA 置换一起使用时，在随机预言模型中证明了原始方案是 IND-CCA2 安全的。Vi