Der Key Share des Clients ist der 1.184-Byte-Kapselungsschlüssel von ML-KEM-768, gefolgt von einem 32 Byte langen öffentlichen Schlüssel für X25519 (1.216 Byte); der Server antwortet mit dem 1.088-Byte-Chiffrat von ML-KEM und seinem 32-Byte-Schlüssel für X25519 (1.120 Byte). Das gemeinsame Geheimnis besteht aus dem 32-Byte-Geheimnis von ML-KEM, gefolgt vom 32-Byte-Geheimnis von X25519. Ungewöhnlich ist, dass hier der Post-Quanten-Teil zuerst kommt, während bei SecP256r1MLKEM768 und SecP384r1MLKEM1024 der ECDH-Teil vorn steht.
Die Gruppe hat das vor der Standardisierung genutzte X25519Kyber768Draft00 (0x6399) abgelöst, das Kyber aus Runde 3 verwendete und mit ihr nicht interoperabel ist. Standardmäßig aktiv ist sie in Chrome und Edge 131 (November 2024), Firefox 132, Safari und den Apple-Plattformen ab iOS und macOS 26 (2025), OpenSSL 3.5 und Go 1.24 sowie serverseitig bei Cloudflare und anderen großen CDNs. Die IANA kennzeichnet sie als „Recommended“.
Die Kosten sind gering, aber spürbar: Der größere Key Share lässt ein ClientHello über ein typisches Netzwerkpaket hinauswachsen, wodurch Middleboxes auffielen, die fragmentierte Handshakes falsch verarbeiten. Ein Schlüsselaustausch mit OpenSSL 3.6.5 umfasst drei Operationen (Schlüsselerzeugung, Kapselung, Entkapselung) mit jeweils etwa 19.000–24.000 pro Sekunde auf einem Kern eines Apple M4 Max. Der Post-Quanten-Browser-Check zeigt, ob deine Verbindung die Gruppe nutzt.