Схемы дополнения (Padding)

RSA без padding небезопасен: детерминированное шифрование (одинаковый m → одинаковый c), мультипликативность (c₁·c₂ = (m₁·m₂)^e). PKCS#1 v1.5 (старый стандарт): добавляет случайные байты 00 02 [random] 00 [message], уязвим к Bleichenbacher attack 1998 (padding oracle). OAEP (Optimal Asymmetric Encryption Padding, Bellare-Rogaway 1994): маскирование с двумя хеш-функциями MGF1, доказуемая безопасность в random oracle model. RSA-OAEP с SHA-256 — современный стандарт (TLS 1.3)