El cliente envía una clave de encapsulación ML-KEM-768 (1184 bytes) seguida de una clave pública X25519 de 32 bytes; el servidor devuelve un texto cifrado ML-KEM (1088 bytes) y su clave X25519, y el secreto compartido es el SHA-256 del secreto de ML-KEM concatenado con el secreto de X25519. El RFC 10042 también define mlkem768nistp256-sha256 y mlkem1024nistp384-sha384 para los despliegues que necesitan curvas del NIST.
OpenSSH lo añadió en la 9.9 (septiembre de 2024) y lo hizo predeterminado en la 10.0; OpenSSH 10.1 (octubre de 2025) muestra WARNING: connection is not using a post-quantum key exchange algorithm cuando una sesión recurre a un método clásico, algo que se ajusta con WarnWeakCrypto. Comprueba qué negocia un servidor con ssh -v o con la auditoría de servidores SSH.
Solo el intercambio de claves es poscuántico: la autenticación del host y del usuario sigue usando firmas clásicas, que una futura computadora cuántica solo podría falsificar en tiempo real, no de forma retroactiva.