Key share клиента состоит из ключа инкапсуляции ML-KEM-768 длиной 1 184 байта, за которым следует 32-байтовый открытый ключ X25519 (всего 1 216 байт); сервер отвечает шифртекстом ML-KEM длиной 1 088 байт и своим 32-байтовым ключом X25519 (1 120 байт). Общий секрет — 32-байтовый секрет ML-KEM, за которым следует 32-байтовый секрет X25519. Необычно то, что постквантовая часть здесь идёт первой, тогда как в SecP256r1MLKEM768 и SecP384r1MLKEM1024 первой идёт часть ECDH.
Эта группа заменила достандартную X25519Kyber768Draft00 (0x6399), которая использовала Kyber 3-го раунда и несовместима с новой. Поддержка по умолчанию: Chrome и Edge 131 (ноябрь 2024 года), Firefox 132, Safari и платформы Apple начиная с iOS и macOS 26 (2025 год), OpenSSL 3.5, Go 1.24, а на стороне серверов — Cloudflare и другие крупные CDN. IANA помечает её как рекомендуемую (Recommended).
Издержки небольшие, но заметные: из-за более крупного key share сообщение ClientHello перестаёт помещаться в один типичный сетевой пакет, что выявило промежуточные устройства, которые неправильно обрабатывают фрагментированные рукопожатия, а один обмен ключами в OpenSSL 3.6.5 требует трёх операций (генерация ключей, инкапсуляция, декапсуляция), которые выполняются со скоростью около 19 000–24 000 в секунду на одном ядре Apple M4 Max. Проверка постквантового TLS в браузере показывает, использует ли эту группу ваше соединение.