Contrairement à Diffie–Hellman, un KEM attribue aux parties des rôles asymétriques : seule la clé publique du détenteur de la clé est nécessaire, et l’expéditeur ne peut pas choisir le secret. TLS intègre les KEM à son modèle de key share : le client envoie une clé d’encapsulation et le serveur répond par un texte chiffré ; HPKE (RFC 9180) définit des KEM fondés sur DH (DHKEM) et des KEM hybrides post-quantiques, et la RFC 9629 ajoute à CMS des destinataires KEM.
Objectif de sécurité : IND-CCA2, atteint pour ML-KEM grâce à la transformation de Fujisaki–Okamoto. Un KEM seul n’authentifie aucune des deux parties ; les protocoles ajoutent pour cela des signatures ou des clés statiques. Combiner un KEM classique et un KEM post-quantique (comme le font X-Wing et les hybrides TLS) préserve la sécurité tant que l’un des deux tient.