Seit März 2026 gibt es einige neue RFC-Dokumente, welche eine Etablierung von Kyber¹ bzw. ML-KEM vorantreiben sollen, wie beispielsweise:

• Internet X.509 Public Key Infrastructure – Algorithm Identifiers for the Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM)

• Use of ML-KEM in the Cryptographic Message Syntax (CMS)

Das ist deshalb ganz beachtlich, da ML-KEM derzeit überwiegend ephemer in TLS-Sitzungen eingesetzt wird. Das bedeutet, dass das erforderliche Schlüsselmaterial nach Bedarf erzeugt und in der Regel am Ende einer Kommunikationssitzung verworfen wird. Authentifizierung über Zertifikate fällt grundsätzlich nur noch in den Zuständigkeitsbereich der digitalen Signaturen. Entgegen einer möglichen Intuition ist es aktuell bei TLS sogar so, dass bei ML-KEM der Client das Schlüsselmaterial erzeugt. Somit ist der Initiator der Verbindung der Schlüsselhalter und nicht, wie man vielleicht zunächst annehmen würde, der Server.

Im Bereich synchroner Kommunikation, bei der beide Seiten unmittelbar miteinander kommunizieren können, funktioniert diese Aufgabenteilung auch wunderbar. Wo sie nicht mehr so gut funktioniert, ist bei einer asynchronen Kommunikationsform, wie sie z. B. bei E-Mail-Verschlüsselung vorliegt. Wir können ja schwerlich vorab mehrere E-Mails austauschen um einen Sitzungsschlüssel zu erzeugen.

Auf irgendeine Art und Weise muss ein symmetrischer Schlüssel sicher zum E-Mail-Empfänger übertragen werden. Kyber gibt als „Key Encapsulation Mechanism“ (KEM) eine solche gesicherte Übertragung her, aber natürlich nur unter der Bedingung, dass der öffentliche Schlüssel des Empfängers bekannt ist. Hierfür muss dieser aber auch eine gewisse Weile an Gültigkeit besitzen und hier kommen die neuen RFCs ins Spiel. Sie ermöglichen den öffentlichen Schlüssel eines Kyber-Schlüsselpaares dauerhaft in einem Zertifikat zu hinterlegen. Dieser Teil würde demnach verwendet werden, um das Schlüsselmaterial für eine symmetrische Inhaltsverschlüsselung zu übertragen. Für die Authentifizierung wird jedoch ein weiteres Zertifikat benötigt. Für ML-DSA gibt es seit Oktober 2025 auch einen passenden RFC:

Internet X.509 Public Key Infrastructure — Algorithm Identifiers for the Module-Lattice-Based Digital Signature Algorithm (ML-DSA)

1. Ich verwende hier Kyber als Synonym für ML-KEM, auch wenn es technisch nicht ganz korrekt ist. ↩︎