Клиент отправляет ключ инкапсуляции ML-KEM-768 (1184 байта), а за ним 32-байтовый открытый ключ X25519; сервер возвращает шифртекст ML-KEM (1088 байт) и свой ключ X25519, а общий секрет — это SHA-256 от секрета ML-KEM, за которым следует секрет X25519. RFC 10042 также определяет mlkem768nistp256-sha256 и mlkem1024nistp384-sha384 для развёртываний, которым нужны кривые NIST.
OpenSSH добавил этот метод в версии 9.9 (сентябрь 2024 года) и сделал его методом по умолчанию в 10.0; OpenSSH 10.1 (октябрь 2025 года) выводит WARNING: connection is not using a post-quantum key exchange algorithm, когда сеанс откатывается к классическому методу; это предупреждение настраивается параметром WarnWeakCrypto. Проверьте, какой метод согласует сервер, с помощью ssh -v или аудита SSH-сервера.
Постквантовый здесь только обмен ключами: аутентификация хоста и пользователя по-прежнему опирается на классические подписи; будущий квантовый компьютер сможет подделать такие подписи только во время соединения, но не задним числом.