先来看具体方案：下面给出一个定理：插入一条分析： 如果DDH问题是困难的，则Cramer-Shoup加密方案 在IND-CCA安全模型下是可证明安全的， 注意这里的定理中并没有RO。 其规约损失为L=2为什么规约损失是2呢？ 先继续往下看证明如下：假定存在一个敌手A\mathscr AA可以