OAEP aplica hashes y máscaras al mensaje con una semilla aleatoria antes de la exponenciación, lo que da seguridad frente a ataques de texto cifrado elegido en el modelo del oráculo aleatorio; una clave de 2048 bits con SHA-256 puede cifrar como máximo 190 bytes, suficiente para cualquier clave simétrica. En JWE, RSA-OAEP usa SHA-1 tanto para el hash como para MGF1, algo que se sigue considerando seguro en OAEP, y RSA-OAEP-256 usa SHA-256; RSA1_5 (PKCS #1 v1.5) no debería usarse por los ataques de oráculo de relleno.
También aparece en el transporte de claves de CMS, en WebCrypto (RSA-OAEP), en el cifrado de sobre de los KMS en la nube y en los TPM. Las bibliotecas usan hashes predeterminados distintos (OpenSSL y muchas API, SHA-1; WebCrypto exige indicar el hash de forma explícita), así que los parámetros OAEP que no coinciden son una causa habitual de fallos de descifrado. Las implementaciones no deben revelar por qué falló el descifrado; si lo hacen, quedan expuestas al ataque de Manger.