Famílias: Diffie–Hellman de corpo finito (DHE), Diffie–Hellman de curva elíptica (ECDHE sobre P-256 ou X25519), transporte de chave RSA (o cliente criptografa um segredo para a chave RSA do servidor; foi removido do TLS 1.3 porque não oferece forward secrecy) e KEMs como o ML-KEM, em que um lado encapsula um segredo para a chave pública do outro. Os NIST SP 800-56A, 56B e 56C e o FIPS 203 cobrem os esquemas aprovados.
A troca de chaves é o alvo do “coletar agora, descriptografar depois”: o tráfego gravado pode ser descriptografado mais tarde se a troca de chaves for quebrada, mesmo depois que os certificados tiverem expirado. É por isso que a migração pós-quântica começou pela troca de chaves híbrida (X25519MLKEM768 no TLS, mlkem768x25519-sha256 no SSH), enquanto as assinaturas continuam, por enquanto, clássicas.
No TLS 1.3, o grupo é negociado em supported_groups e os valores públicos viajam em key_share; no SSH, o nome do método (curve25519-sha256, mlkem768x25519-sha256) designa a construção inteira.