Ces certificats suivent la même structure et les mêmes usages clés que ceux que nous connaissons et comprenons actuellement. La principale différence réside dans les types de clés, comme illustré ci-dessous :

CActuellement, dilithium3 est utilisé pour l'AC racine et l'AC intermédiaire. Cet algorithme a été sélectionné en 2022 par le NIST pour les signatures numériques, il est donc probable qu'il soit une option pour les certificats TLS/x509. Une fois finalisé, il sera probablement connu sous le nom de ML-DSA-65 une fois FIPS 203.

Ceci ne concerne que les algorithmes de signature numérique PQ-Safe. Pour que l'ensemble de la transaction TLS soit totalement PQ-Safe, les algorithmes d'échange de clés doivent également être mis à jour, ce qui implique probablement l'utilisation de Kyber.

Ce sont les types de certificats les plus connus, car ils sont délivrés à ceux qui souhaitent sécuriser leurs sites web.

La demande d'un certificat Feuille ou Entité Finale fonctionnera de la même manière que les demandes de signature de certificat (CSR) que nous utilisons aujourd'hui, contenant le SubjectDN (le nom commun et les détails de l'organisation) et les Subject Alternative Names, qui sont une liste des ressources que le certificat SSL /TLS est destiné à sécuriser, c'est-à-dire un nom de domaine ou une adresse IP.

Cependant, lors de la demande d'un certificat PQ-Safe, par rapport aux options de certificat actuelles, une demande CSR ou ACME devra avoir un type de clé PQ-Safe, tel que Dilithium2.