Tailles en octets (FIPS 204, tableau 2), clé publique / signature : ML-DSA-44 1312 / 2420 (catégorie de sécurité 2), ML-DSA-65 1952 / 3309 (catégorie 3), ML-DSA-87 2592 / 4627 (catégorie 5). Les clés privées occupent de 2560 à 4896 octets sous forme développée, mais peuvent être stockées sous la forme de la graine de 32 octets. Sur un cœur Apple M4 Max, OpenSSL 3.6.5 produit environ 3900 signatures ML-DSA-44 et 20 800 vérifications par seconde ; la signature recourt à l’échantillonnage par rejet, si bien que sa durée varie.
La signature est hedged par défaut : 32 octets d’aléa frais sont mêlés à la clé et au message, et une variante déterministe facultative utilise des zéros à la place (§3.4). Chaque signature lie une chaîne de contexte de 255 octets au plus. HashML-DSA (§5.4) signe un condensat en y liant l’OID de la fonction de hachage, en tant qu’algorithme distinct. Les identifiants X.509 sont id-ml-dsa-44, -65 et -87 (2.16.840.1.101.3.4.3.17 à .19, RFC 9881).
ML-DSA est le choix par défaut pour la signature post-quantique d’usage général : certificats des PKI privées, micrologiciels, documents. Sa taille est l’obstacle pour TLS dans la PKI publique du web, c’est pourquoi des certificats ML-DSA composites et les certificats en arbre de Merkle (Merkle Tree Certificates) sont en cours de conception. L’outil de signatures post-quantiques signe et vérifie localement.