Optimal Asymmetric Encryption Padding
http://itpro.nikkeibp.co.jp/word/page/10005074/
http://cryptrec.nict.go.jp/rep_ID0006.pdf
OAEPの初期バージョン(Bellare/Rogaway, 1994)は、ランダムオラクルモデルで任意の落とし戸付き置換と組み合わせると"plaintext awareness(英語版)"を持ち、これにより選択暗号文攻撃に対する識別不可能性(IND-CCA1安全性)を持つとされた。また当初は適応的選択暗号文攻撃に対しても識別不可能性(IND-CCA2安全性)を持つと考えられていた。しかし2001年にビクター・シュープ(英語版)がIND-CCA2ではないことを示し、改良版としてOAEP+を提案した。同時期にダン・ボウネイ(英語版)もSAEPおよびSAEP+を提案した。但し、元のOAEPもランダムオラクルモデルで標準的な暗号化指数を用いたRSA置換と組み合わせた場合は、たまたま(主にOAEPではなくRSA関数の代数的な性質により)IND-CCA2になる。