ML-KEM 是什么
ML-KEM 是 NIST 在 FIPS 203 中标准化的后量子密钥封装机制，算法源自 CRYSTALS-Kyber，安全性基于模块格上的学习带误差问题。它不直接加密数据，而是通过封装与解封装在双方之间协商出同一个 32 字节共享秘密，再由上层密钥派生函数生成会话密钥。TLS 1.3 中通常把 ML-KEM 与 X25519 组合成混合组，兼顾后量子与经典安全性。
基本信息
| 标准 | FIPS 203 |
|---|---|
| 来源算法 | CRYSTALS-Kyber |
| 共享秘密 | 固定 32 字节 |
| 参数集 | ML-KEM-512 / 768 / 1024 |
| 典型用法 | TLS 1.3 混合组，如 X25519MLKEM768 |
典型使用场景
- 为 TLS 会话密钥提供后量子安全性，抵御先收集后解密的长期威胁
- 固件与设备更新通道的密钥协商，避免设备寿命长于算法安全性
- 替换 RSA 密钥传输类用法，作为密钥封装的标准替代
- 混合部署：与 ECDH 组合，任一侧被攻破时整体仍安全
- 合规预研：评估现有密码库的支持情况与握手体积影响
混合组协商观察
混合组协商观察
# OpenSSL 3.5 起内置 X25519MLKEM768 混合组
openssl s_client -connect example.com:443 -groups X25519MLKEM768 </dev/null | grep -i group
# 查看本机支持的组
openssl list -tls1_3-groups 2>/dev/null | head -20参数集与体积
| 参数集 | NIST 类别 | 封装公钥 | 密文 |
|---|---|---|---|
| ML-KEM-512 | 1（约 128 位） | 800 字节 | 768 字节 |
| ML-KEM-768 | 3（约 192 位） | 1184 字节 | 1088 字节 |
| ML-KEM-1024 | 5（约 256 位） | 1568 字节 | 1568 字节 |
KEM 不是公钥加密函数：它只负责产生共享秘密，密钥如何使用由上层协议决定。把 ML-KEM 当作 RSA 那样的加密接口调用，等于让应用自己实现密钥调度，风险更高。
混合组会把 ClientHello 撑大数百到上千字节，可能触发 TCP 分片或被部分中间设备丢弃；上线前要评估 MTU、负载均衡与 WAF 对大握手的处理。
工程落地检查项
- 确认所用 TLS 库版本是否内置 ML-KEM，以及混合组的确切名称
- 测量启用混合组后的握手字节数与首包分片情况
- 评估服务端处理器开销与连接建立延迟的变化
- 明确签名与证书算法是否同步迁移，KEM 只解决密钥协商
ML-KEM 的安全性依赖均匀随机的种子与拒绝采样过程；实现中解封装失败时应走隐式拒绝路径输出伪随机共享秘密，而不是直接返回错误，否则会引入侧信道。