美國NIST於2024年8月以FIPS 203標準化的、以格為基礎的金鑰封裝機制（KEM）。名稱是Module-Lattice-Based Key-Encapsulation Mechanism的縮寫，以CRYSTALS-Kyber為基礎。安全性的根據在於由加上小誤差的聯立一次方程式求出秘密的Module-LWE問題很困難，一般認為即使量子電腦也無法有效率地求解。有ML-KEM-512、ML-KEM-768、ML-KEM-1024三組參數。在TLS等協定中，用來取代ECDHE金鑰交換或與其組合使用。
日文名稱: ML-KEM
「ML-KEM」出現在3領域的7道練習題中（密碼學基礎與應用, 硬體安全的進階主題與趨勢, 量子電腦硬體等）。
這個名詞所屬的領域: 密碼學基礎與應用
KEM由金鑰產生、封裝與解封裝3個操作組成。傳送方以接收方的公開金鑰進行封裝，得到隨機的共享秘密與包住它的密文，並傳送密文。接收方以私密金鑰解封裝，得到相同的共享秘密。與迪菲-赫爾曼金鑰交換不同，傳送方不需要準備自己長期使用的金鑰對。
ML-KEM-768的公開金鑰（封裝金鑰）為1,184位元組，密文為1,088位元組，共享秘密為32位元組。橢圓曲線金鑰交換X25519的公開值為32位元組，因此傳送的資料大得多。另一方面，計算本身很輕，一般認為與橢圓曲線金鑰交換相比也不慢。
為了因應對新方式的疑慮，把X25519與ML-KEM-768的共享秘密都放入金鑰衍生的混合金鑰交換（X25519MLKEM768等），截至2025年已開始在TLS 1.3中使用。只要其中一方安全，產生的金鑰就受到保護。
正確答案：B. 傳送方由接收方的公開金鑰產生共享秘密與包住它的密文，接收方以私密金鑰取出相同的秘密
KEM由金鑰產生、封裝與解封裝3個操作組成。傳送方以接收方的公開金鑰進行封裝，同時得到隨機的共享秘密與包住它的密文，只傳送密文。接收方以私密金鑰解封裝而得到相同的共享秘密，之後以由它產生的金鑰使用對稱式加密。KEM是用來共享金鑰的機制，因此驗證對方要另外使用ML-DSA等簽章。
不行。ML-KEM是用來共享金鑰的機制。後量子密碼學的簽章，要使用同樣於2024年8月標準化的ML-DSA（FIPS 204）或SLH-DSA（FIPS 205）。
不同。ML-KEM以數學問題的困難度為基礎，可直接在一般的電腦與網路上運作。量子金鑰分發是利用光子等量子性質來共享金鑰的技術，需要專用的設備與通道。
ML-KEM是新的方式，實作錯誤或發現新攻擊的可能性還無法充分排除。
在遷移到後量子密碼學的過程中使用的、把X25519（使用橢圓曲線的迪菲-赫爾曼金鑰交換）與ML-KEM組合的混合金鑰交…因此FIPS 203規定，不一致時不回傳錯誤，而是回傳由機密值與密文產生的另一把金鑰（隱式拒絕），實作上則以恆定時間進行比較與選擇結果的處理。
在ML-KEM的解封裝中，會由以私密金鑰解密所收到之密文的結果重新產生密文，並與收到的密文比較是否一致。關於這部分實作…美國 NIST 在 2024 年公布了以格為基礎的金鑰封裝機制 ML-KEM（FIPS 203）與簽章方式 ML-DSA（FIPS 204）等標準。
關於後量子密碼（PQC），下列敘述何者正確？FIPS 203的ML-KEM（原名CRYSTALS-Kyber）是用來共享金鑰的金鑰封裝機制，FIPS 204的ML-DSA（CRYSTALS-Dilithium）與FIPS 205的SLH-DSA（SPHINCS+）是數位簽章的方式。
美國NIST於2024年8月公布的後量子密碼學標準與其種類的組合，正確的是下列何者？ML-KEM以 q = 3329 為模處理係數，並以使用NTT計算為前提設計，因此NTT電路是後量子密碼加速器的核心元件。
以格為基礎的後量子密碼，會反覆進行次數 n = 256 的多項式乘法。若把所有係數兩兩相乘的單純方法約需 n² 次乘法…後量子密碼 雜湊函數 對稱式加密 迪菲-赫爾曼金鑰交換 TLS 微控制器(MCU) Shor 演算法 RSA加密 橢圓曲線密碼學 數位簽章