最优非对称加密填充

此條目翻譯品質不佳。 (2023年10月7日) 翻譯者可能不熟悉中文或原文語言，也可能使用了機器翻譯。請協助翻譯本條目或重新編寫，并注意避免翻译腔的问题。明顯拙劣的翻譯請改掛{{d|G13}}提交刪除。

在密码学中，最优非对称加密填充（英语：Optimal Asymmetric Encryption Padding，缩写：OAEP）是一种经常与RSA加密一起使用的填充方案。OAEP由Mihir Bellare和Phillip Rogaway发明^[1]，随后在PKCS#1 v2和RFC 2437中得到标准化。

OAEP算法是费斯妥密码的一种形式，它使用一对随机预言G和H在进行非对称加密之前处理明文。OAEP与任何安全的陷门单向置换${\displaystyle f}$ 结合使用在随机预言模型中被证明是一种在选择明文攻击（IND-CPA）下语义安全的组合方案。当使用某些陷门置换（如RSA）实现时，OAEP也被证明可以抵抗选择密文攻击。OAEP可用于构建全有或全无转换（all-or-nothing transform）。

OAEP满足以下两个目标：

1. 添加随机性元素，这可用于将确定性加密方案（如传统 RSA）转变为概率加密方案。
2. 通过确保无法反转陷门单向置换${\displaystyle f}$，从而无法恢复明文的任何部分，来防止密文的部分解密（或造成其他信息泄漏）。

当OAEP与任何陷门置换一起使用时，OAEP的原始版本（Bellare/Rogaway, 1994）在随机预言机模型中显示了一种“明文知晓性”的形式（他们声称这意味着对选择密文攻击是安全的）。然而随后的结果与这一点相抵触，表明OAEP仅是IND-CCA1安全的。但是与RSA-OAEP的情况一样，当将OAEP与使用标准加密指数的RSA置换一起使用时，在随机预言模型中证明了原始方案是IND-CCA2安全的。^[2]Victor Shoup 提供了一种改进的方案（称为OAEP+），该方案可与任何陷门单向置换配合使用，以解决此问题。^[3]近期的研究表明，在标准模型中（即当哈希函数未建模为随机预言时），无法在假定RSA问题的难度下证明RSA-OAEP具有IND-CCA2安全性。^[4][5]

在图中，

• n 是 RSA 模数的位数。
• k₀ 和 k₁是协议中的固定整数。
• m 是n -k₀ -k₁位长的明文消息
• G 和 H 是随机预言，如加密散列函数。
• ⊕ 是异或运算。

编码过程包括如下步骤：

1. 用 k₁ 位长的 0 将消息填充至 n - k₀ 位的长度。
2. 随机生成 k₀ 位长的串 r
3. 用 G 将k₀ 位长的 r 扩展至 n - k₀ 位长。
4. X = m00...0 ⊕ G(r)
5. H 将 n - k₀ 位长的 X 缩短至 k₀ 位长。
6. Y = r ⊕ H(X)
7. 输出为 X || Y，在图中 X 为最左边的块，Y 位最右边的块。

随后可以使用 RSA 加密编码的消息，使用 OAEP 可以避免 RSA 的确定性。

解码过程包括如下步骤：

1. 恢复随机串 r 为 Y⊕H(X)
2. 恢复消息 m00...0 为 X ⊕ G(r)

“全有或全无”的安全性基于以下事实：要恢复 m，必须完整地恢复 X 和 Y。从 Y 中恢复 r 需要 X，而从 X 中恢复 m 需要 r。由于加密哈希的任何更改的位都完全改变了结果，因此整个 X和整个 Y 必须都被完全恢复。

在 PKCS#1 标准中，随机预言 G 和 H 是相同的。但 PKCS#1 标准进一步要求随机预言应是具有合适散列函数的 MGF1。^[6]

• 密钥封装

1. ^ M. Bellare, P. Rogaway. Optimal Asymmetric Encryption -- How to encrypt with RSA. Extended abstract in Advances in Cryptology - Eurocrypt '94 Proceedings, Lecture Notes in Computer Science Vol. 950, A. De Santis ed, Springer-Verlag, 1995. full version (pdf) （页面存档备份，存于互联网档案馆）
2. ^ Eiichiro Fujisaki, Tatsuaki Okamoto, David Pointcheval, and Jacques Stern. RSA-- OAEP is secure under the RSA assumption. In J. Kilian, ed., Advances in Cryptology -- CRYPTO 2001, vol. 2139 of Lecture Notes in Computer Science, SpringerVerlag, 2001. full version (pdf) （页面存档备份，存于互联网档案馆）
3. ^ Victor Shoup. OAEP Reconsidered. IBM Zurich Research Lab, Saumerstr. 4, 8803 Ruschlikon, Switzerland. September 18, 2001. full version (pdf) （页面存档备份，存于互联网档案馆）
4. ^ P. Paillier and J. Villar, Trading One-Wayness against Chosen-Ciphertext Security in Factoring-Based Encryption, Advances in Cryptology -- Asiacrypt 2006.
5. ^ D. Brown, What Hashes Make RSA-OAEP Secure? （页面存档备份，存于互联网档案馆）, IACR ePrint 2006/233.
6. ^ Brown, Daniel R. L. What Hashes Make RSA-OAEP Secure? (PDF). IACR Cryptology ePrint Archive. 2006 [2019-04-03]. （原始内容存档 (PDF)于2016-07-22） （英语）.