O OAEP processa a mensagem com hash e máscara, usando uma semente aleatória, antes da exponenciação, o que garante segurança contra ataques de texto cifrado escolhido no modelo de oráculo aleatório; uma chave de 2048 bits com SHA-256 criptografa no máximo 190 bytes, o suficiente para qualquer chave simétrica. No JWE, RSA-OAEP usa SHA-1 tanto para o hash quanto para a MGF1, o que ainda é considerado seguro no OAEP, e RSA-OAEP-256 usa SHA-256; não é recomendável usar RSA1_5 (PKCS #1 v1.5), por causa dos ataques de padding oracle.
Em outros contextos, ele aparece no transporte de chaves do CMS, no WebCrypto (RSA-OAEP), na criptografia de envelope dos KMS de nuvem e em TPMs. As bibliotecas adotam hashes padrão diferentes (o OpenSSL e muitas APIs usam SHA-1; o WebCrypto exige um hash explícito), então parâmetros OAEP divergentes são uma causa comum de falhas de descriptografia. As implementações não devem revelar por que a descriptografia falhou; caso contrário, o ataque de Manger se aplica.