Familles : Diffie–Hellman sur corps fini (DHE), Diffie–Hellman sur courbe elliptique (ECDHE sur P-256 ou X25519), transport de clé RSA (le client chiffre un secret pour la clé RSA du serveur ; retiré de TLS 1.3 parce qu’il n’offre aucune confidentialité persistante) et KEM comme ML-KEM, où une partie encapsule un secret pour la clé publique de l’autre. Les publications NIST SP 800-56A, 56B et 56C et FIPS 203 couvrent les schémas approuvés.
C’est l’échange de clés que vise la stratégie « récolter maintenant, déchiffrer plus tard » : le trafic enregistré peut être déchiffré plus tard si l’échange de clés est cassé, même une fois les certificats expirés. C’est pourquoi la migration post-quantique a commencé par l’échange de clés hybride (X25519MLKEM768 dans TLS, mlkem768x25519-sha256 dans SSH), alors que les signatures restent classiques pour l’instant.
En TLS 1.3, le groupe est négocié dans supported_groups et les valeurs publiques circulent dans key_share ; en SSH, le nom de la méthode (curve25519-sha256, mlkem768x25519-sha256) désigne l’ensemble de la construction.