Le client envoie une clé d’encapsulation ML-KEM-768 (1184 octets) suivie d’une clé publique X25519 de 32 octets ; le serveur renvoie un texte chiffré ML-KEM (1088 octets) et sa clé X25519, et le secret partagé est le SHA-256 du secret ML-KEM concaténé au secret X25519. La RFC 10042 définit aussi mlkem768nistp256-sha256 et mlkem1024nistp384-sha384 pour les déploiements qui ont besoin des courbes du NIST.
OpenSSH l’a ajouté dans la version 9.9 (septembre 2024) et en a fait la valeur par défaut dans la 10.0 ; OpenSSH 10.1 (octobre 2025) affiche WARNING: connection is not using a post-quantum key exchange algorithm lorsqu’une session se rabat sur une méthode classique, comportement réglable avec WarnWeakCrypto. Vérifiez ce que négocie un serveur avec ssh -v ou l’audit de serveur SSH.
Seul l’échange de clés est post-quantique : l’authentification de l’hôte et de l’utilisateur repose toujours sur des signatures classiques, qu’un futur ordinateur quantique ne pourrait falsifier qu’en direct, et non rétroactivement.