先来看具体方案：

下面给出一个定理：

插入一条分析： 如果DDH问题是困难的，则ElGamal加密方案 在IND-CPA安全模型下是可证明安全的， 注意这里的定理中并没有RO。 其规约损失为L=2

为什么规约损失是2呢？ 先继续往下看

证明如下：

假定存在一个敌手A\mathscr A