Der Client sendet einen ML-KEM-768-Kapselungsschlüssel (1.184 Byte), gefolgt von einem öffentlichen Schlüssel für X25519 (32 Byte); der Server antwortet mit einem ML-KEM-Chiffrat (1.088 Byte) und seinem X25519-Schlüssel, und das gemeinsame Geheimnis ist SHA-256 über die Verkettung des ML-KEM-Geheimnisses mit dem X25519-Geheimnis. RFC 10042 definiert außerdem mlkem768nistp256-sha256 und mlkem1024nistp384-sha384 für Umgebungen, die NIST-Kurven brauchen.
OpenSSH hat das Verfahren mit Version 9.9 (September 2024) eingeführt und mit 10.0 zum Standard gemacht; OpenSSH 10.1 (Oktober 2025) gibt WARNING: connection is not using a post-quantum key exchange algorithm aus, wenn eine Sitzung auf ein klassisches Verfahren zurückfällt (einstellbar mit WarnWeakCrypto). Prüfe mit ssh -v oder dem SSH-Server-Audit, was ein Server aushandelt.
Nur der Schlüsselaustausch nutzt ein Post-Quanten-Verfahren: Host- und Benutzerauthentifizierung verwenden weiterhin klassische Signaturen, die ein künftiger Quantencomputer nur in Echtzeit fälschen könnte, nicht nachträglich.