ML-KEM 密钥封装（FIPS 203）

基于模块格难题的密钥封装机制（源自 Kyber），通过 encaps/decaps 交换 32 字节共享秘密；TLS 1.3 中通常与 X25519 组成混合组使用。

参数集与体积

参数集	NIST 安全类别	封装公钥	密文	共享秘密
ML-KEM-512	1（约 128 位）	800 字节	768 字节	32 字节
ML-KEM-768	3（约 192 位）	1184 字节	1088 字节	32 字节
ML-KEM-1024	5（约 256 位）	1568 字节	1568 字节	32 字节

# 接收方发布封装公钥 ek
c, ss_recv = ML-KEM.Encaps(ek)      # 发送方
ss_send   = ML-KEM.Decaps(dk, c)    # 接收方
# 得到相同共享秘密后，再用 HKDF 派生会话密钥

KEM 不是公钥加密函数：它只产生共享秘密，密钥用途由上层协议（如 TLS 1.3 密钥调度）决定。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌