Кратко

  • RFC 10042 регистрирует три метода SSH, сочетающие ML-KEM с P-256, P-384 или X25519 и выводящие общий секрет из обоих результатов.
  • Поддержка в программе не доказывает использование: нужны данные о выбранном методе, отказах и аутентификации каждого соединения.

Два алгоритма, один согласованный метод

RFC 10042 отвечает на риск накопить трафик сейчас и расшифровать его позже. Он определяет mlkem768nistp256-sha256, mlkem1024nistp384-sha384 и mlkem768x25519-sha256. Каждое имя обозначает один метод SSH, но внутри выполняются традиционный ECDH и инкапсуляция ML-KEM.

Клиент посылает объединённый постквантовый и классический открытый материал. Сервер возвращает шифртекст ML-KEM, традиционный открытый ключ, ключ хоста и подпись обмена. Обе стороны обязаны проверить ожидаемые длины; определённые ошибки прекращают обмен. Секреты объединяются как K = HASH(K_PQ || K_CL) с кодированием фиксированной длины.

Это нормативные факты. Операционный вывод иной: граница миграции пройдена только когда гибридное имя выигрывает согласование и весь обмен завершается. Старые приоритеты, разные версии или настройка отката могут по-прежнему выбирать классический метод, хотя код уже установлен.

Гибридный обмен не заменяет аутентификацию

Ключ хоста и его подпись остаются частью протокола. Поэтому гибридный обмен не исправляет слабое управление ключами, непроверенное доверие или скомпрометированные учётные данные. Публикация RFC также не доказывает внедрение каким-либо поставщиком или оператором.

RFC требует новые временные пары ECDH и ML-KEM для каждого соединения и запрещает повторно использовать случайность при создании шифртекста ML-KEM. Фиксированное кодирование секретов ограничивает риск временных утечек из-за переменной длины. Качество реализации и источника случайности входит в контур контроля.

Размер ограничен, операционная цена реальна

Три метода укладываются в минимальные требования SSH к пакетам. Однако совместимость, процессорная нагрузка, задержка, запас мощности, телеметрия отказов и условия отката требуют локальных измерений. Источники не оценивают стоимость конкретной инфраструктуры.

Выгоду получают сеансы, чья конфиденциальность должна пережить сегодняшние классические предположения. Расходы несут команды клиентов, серверов, бастионов, автоматизации и библиотек. Классический вариант проще, но не содержит ML-KEM; чисто постквантовый вариант убрал бы классическую страховку и не является конструкцией RFC 10042.

Источники