# X25519MLKEM768是什么？定义、例子与常见误区

> X25519MLKEM768 是把经典的 X25519 与后量子算法 ML-KEM-768 组合起来的 TLS 1.3 混合密钥交换群，Chrome 从 131 版起使用。

Source: https://ssl.sh/zh/glossary/x25519mlkem768/
Last updated: 2026-11-10

X25519MLKEM768 是 TLS 1.3 的一个命名群（编号 0x11EC），2026 年 8 月由 [RFC 10024](https://www.rfc-editor.org/rfc/rfc10024) 标准化，一次握手同时进行两种密钥交换：X25519 椭圆曲线 Diffie-Hellman 和 [ML-KEM](https://ssl.sh/zh/glossary/ml-kem/)-768。客户端的 key_share 由 ML-KEM-768 封装密钥加 X25519 公钥组成（1,184 + 32 = 1,216 字节）；服务器回复 ML-KEM 密文和自己的 X25519 公钥（1,088 + 32 = 1,120 字节）。两个共享秘密拼接后送入常规的 TLS 1.3 密钥调度。

## 为什么重要
它是目前 Web 上部署最广的[混合密钥交换](https://ssl.sh/zh/glossary/hybrid-key-exchange/)方案。Chrome 131（2024 年 11 月）把早期实验性的 X25519Kyber768Draft00 换成了它，OpenSSL 从 3.5 版起支持。要破解它必须同时攻破 X25519 和 ML-KEM-768，因此既能防范未来的量子解密，又不必把全部安全押在一个年轻的算法上。它只存在于 [TLS 1.3](https://ssl.sh/zh/glossary/tls-1-3/) 中；不支持它的服务器会照常协商普通的 X25519 或 P-256，不会导致访问失败。

## 例子
用 OpenSSL 3.5 及以上版本检查服务器是否支持，并在基于这类 OpenSSL 编译的 Nginx 中优先启用：

```bash
openssl s_client -connect example.com:443 -groups X25519MLKEM768
```

```nginx
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1;
```

协商成功时，Chrome 开发者工具的 Security 面板会把密钥交换显示为 X25519MLKEM768。宝塔面板等环境自带的 OpenSSL 版本较旧时，需要先确认版本。

## 常见误区
- **用了它，连接就完全抗量子了。** 它保护的是密钥建立，服务器身份认证仍使用经典的 RSA 或 ECDSA 签名。
- **混合方案只有一半强度。** 攻击者必须同时攻破两个组件，所以它至少和其中任何一个一样难破解。
- **它和 X25519Kyber768Draft00 是一回事。** 后者是基于标准化之前 Kyber 版本的早期实验性群，编号也不同。

## 相关术语

- [混合密钥交换](https://ssl.sh/zh/glossary/hybrid-key-exchange/): 混合密钥交换把 X25519 等经典算法与 ML-KEM 等后量子 KEM 组合使用，只要其中一个未被攻破，得到的会话密钥就仍然安全。
- [ML-KEM](https://ssl.sh/zh/glossary/ml-kem/): ML-KEM 是 NIST 于 2024 年 8 月在 FIPS 203 中标准化的后量子密钥封装机制，源自 CRYSTALS-Kyber，用于抗量子的密钥建立。
- [ECDHE](https://ssl.sh/zh/glossary/ecdhe/): ECDHE 是椭圆曲线上的临时 Diffie-Hellman 密钥交换，TLS 双方每次握手都生成新的椭圆曲线密钥对，并据此协商出共享密钥。
- [后量子密码](https://ssl.sh/zh/glossary/post-quantum-cryptography/): 后量子密码（PQC）是专为抵御大规模量子计算机攻击而设计的公钥密码算法，用来替代可能被量子计算机破解的 RSA 和 ECC。
- [TLS 1.3](https://ssl.sh/zh/glossary/tls-1-3/): TLS 1.3 是当前最新的传输层安全协议版本（2018 年的 RFC 8446，现行规范为 RFC 9846），完整握手只需一个往返，且只保留 AEAD 加密算法。
- [密钥交换](https://ssl.sh/zh/glossary/key-exchange/): 密钥交换是 TLS 握手中客户端与服务器建立共享秘密的步骤，保护连接的对称密钥都由这个共享秘密派生而来。