11371 是什么
11371 是 OpenPGP 公钥服务器协议 HKP（HTTP Keyserver Protocol）的默认端口：gpg 通过它查询、下载与上传公钥，接口形如 /pks/lookup 加查询参数。传统公共密钥服务器允许任何人上传公钥，因此上面常堆满垃圾与伪造密钥；keys.openpgp.org 等新一代服务改为需要邮箱验证才发布身份信息。企业里更推荐自建内部密钥服务，或改用 hkps（443）加密访问。
基本信息
| 服务 | OpenPGP HKP keyserver（11371） |
|---|---|
| 协议 | TCP/HTTP（hkps 走 443） |
| 用途 | 公钥查询、下载与上传 |
| 现状 | 多迁移到 hkps 或内部服务 |
| 客户端工具 | gpg |
| 安全等级 | 可公开（只读数据），注意滥用 |
典型使用场景
- 签名验证：拉取对方公钥以校验软件包或邮件签名
- 密钥分发：把团队公钥发布到内部或公共服务
- 迁移改造：从明文 HKP 换到 hkps 与内部服务
- 安全评审：评估对公共密钥服务器的信任依赖
- 密钥轮换：更换签名密钥时的分发与公示
- 合规核对：确认签名验证流程符合内部规范
OpenPGP 公钥获取方式
| 方式 | 地址形式 | 特点 |
|---|---|---|
| hkp | hkp://host:11371 | 明文，老用法 |
| hkps | hkps://host:443 | TLS 加密，推荐 |
| Web Key Directory | 按域名的自动发现路径 | 无需中心服务器 |
| 本地文件 | gpg --import pub.asc | 完全可控，适合内部分发 |
查询公钥
查询公钥
gpg --keyserver hkps://keys.openpgp.org --search-keys user@example.com
gpg --keyserver hkp://keyserver.example.com:11371 --recv-keys <KEYID>
gpg --keyserver hkps://keys.openpgp.org --recv-keys <KEYID>
gpg --list-keys <KEYID> # 导入后核对指纹
# 指纹核对: gpg --fingerprint <KEYID> 应与对方提供的指纹完全一致公共密钥服务器上的公钥未经强验证：导入后必须核对指纹，尤其是通过非安全渠道获取的指纹，否则等于给中间人留门。
hkp 是明文 HTTP：在内网或跨网链路使用会泄露查询内容与访问模式，能用 hkps 就不要用 hkp。
自建密钥服务器要限制写入：允许任意上传时，公钥可被覆盖或塞入垃圾数据，签名验证的可信度随之下降。
密钥轮换要有流程：旧密钥撤销与新密钥公示需要同步进行，否则验证方会长期停留在失效密钥上。
签名验证依赖本地信任决策：工具链默认行为不等于企业策略，关键流程应明确要求指纹比对与来源确认。