- Home
- Klarering
ExpressVPN Klareringssenter
ExpressVPN er først og fremst et personvernselskap. Våre brukere stoler på at vi beskytter personvernet deres med en bransjeledende kombinasjon av maskinvare, programvare og menneskelig kløkt. Her får du en titt på hvordan vi jobber for å vinne denne tilliten.
Sikkerhet hos ExpressVPN: Våre 4 hovedstrategier
Les om hvordan vi jobber med cybersikkerhet for å beskytte systemene og brukerne våre.
1. Gjøre systemene vanskelige å kompromittere
ExpressVPN-programvaren er beskyttet, fra den skapes til programvaren leveres, mot kontaminering med ondsinnet kode på grunn av et internt verifiseringssystem for builds som har blitt uavhengig revidert.
Vi bruker felles-private nøkkelpar for en rekke sikkerhetsformål, for eksempel tofaktorautentisering, signering av Git-commits og tilkobling til en server via SSH. Vi reduserer risikoen for at våre private nøkler blir stjålet ved å holde dem på fysiske sikkerhetsenheter. Dette innebærer at selv om arbeidsstasjonene våre er kompromittert, kan ikke en angriper stjele våre private nøkler.
Disse enhetene er sikret med sterke passordfraser og er konfigurert til å «mure» seg selv etter flere mislykkede forsøk på å låse dem opp. Enhetene krever fysisk berøring for å fungere, noe som betyr at skadelig programvare ikke kan stjele nøklene uten at et menneske er involvert.
All produksjonskode krever at minst ett annet menneske fungerer som en kontrollør. Dette gjør det mye vanskeligere å legge til ondsinnet kode, enten fra en intern trussel eller hvis arbeidsstasjonen til en ansatt er kompromittert.
Vi bruker SSH som en sikker måte å få ekstern tilgang til våre kritiske servere på. Disse SSH-serverne er konfigurert til å kun bruke et sett med svært sikre chiffreringer, nøkkelutvekslingsalgoritmer og MAC-er. Vi tillater heller ikke tilkobling som root, og autentisering kan bare skje med sterke SSH-nøkler – ingen passord er tillatt. Vi bruker mellomliggende SSH-bastionverter for å skille produksjonsinfrastruktur fra det åpne internettet. Disse maskinene aksepterer bare trafikk fra IP-adresser som er hvitelistet.
All denne konfigurasjonen er definert i kode, så den er kvalitetssikret og reproduserbar.
For produksjonsmaskiner oppdateres programvareavhengigheter automatisk via uovervåkede oppgraderinger.
2. Minimere potensielle skader
For å redusere trusselen for at stjålne nøkler blir brukt til å etterligne en VPN-server, krever vi at ExpressVPN-applikasjonen sjekker inn med API-serverne våre for å motta oppdaterte konfigurasjonsinnstillinger. Våre applikasjoner autentiserer serverne de kobler til ved å validere signaturen fra den private sertifiseringsinstansen (CA) og det vanlige navnet for å sikre at en angriper ikke kan utgi seg for å være oss.
ExpressVPNs passordlagring (kalt ExpressVPN Keys) utnytter nullkunnskapskryptering for å sikre at ingen – ikke engang ExpressVPN – kan dekryptere informasjonen brukerne våre lagrer. Nullkunnskapskryptering sørger for at hvis det var et databrudd på serverne våre, ville ikke en angriper være i stand til å dekryptere informasjon som er lagret av brukerne våre. Denne informasjonen dekrypteres kun på enheten til en bruker, og kan kun dekrypteres ved hjelp av krypteringsnøkler generert av hovedassordet til brukeren – som kun de kan.
Modellering av sikkerhets- og personverntrussel er integrert i designfasen til ethvert system. Vi bruker rammeverket MITER ATT&CK for å identifisere trusler som kan finnes i designene våre, vurderer måter å fjerne dem på, og iverksetter tilstrekkelige tiltak for å minimere potensiell risiko.
Alle våre brukere, tjenester og operasjoner følger modellen for det minste privilegium. Våre ansatte har kun autorisert tilgang til tjenestene og produksjonssystemene som er nødvendige for rollen deres. Våre kundestøtteagenter jobber under to miljøer, et uklarert miljø for generelle nettlesingsaktiviteter og et restriktivt miljø for tilgang til sensitive systemer. Disse tiltakene minimerer innvirkningen og saboterer målene til angriperne hvis de skulle klare å ta over kontrollen til noen av kontoene våre.
3. Minimere tiden for skadepotensial
Vi overvåker kontinuerlig våre interne tjenester og infrastruktur for enhver unormal eller uautorisert aktivitet. Sikkerhetsteamet vårt utfører sanntidsovervåking og hastegradsvurdering av sikkerhetsvarsler døgnet rundt.
Mange av systemene våre ødelegges og gjenoppbygges automatisk flere ganger i uken, kanskje til og med hver dag. Dette begrenser den potensielle tiden en angriper kan luske rundt i systemene våre.
4. Validere sikkerhetskontrollene våre
Vi utfører regelmessige inntrengingstester for å evaluere våre systemer og programvare for å identifisere sårbarheter og svakheter. Våre testere har full tilgang til kildekoden og bruker en kombinasjon av automatisert og manuell testing for å sikre en grundig gjennomgang av våre tjenester og produkter.
Vi engasjerer uavhengige revisorer for å vurdere sikkerheten til tjenestene og programvarene våre. Disse engasjementene fungerer som en bekreftelse på at de interne kontrollene våre er effektive for å redusere sikkerhetssårbarheter, samtidig som de tilbyr kundene dokumentasjon på nøyaktigheten av sikkerhetspåstandene vi gjør om produktene våre.
Se hele listen over revisjonsrapporter
Innovasjon
Vi streber etter å etterleve og overgå bransjens sikkerhetsstandarder, og vi innoverer stadig i en konstant jakt på nye måter å sikre produktene våre og brukernes personvern på. Her beskriver vi to banebrytende teknologier som er bygd av ExpressVPN.
Lightway: Protokollen vår tilbyr en overlegen VPN-opplevelse
Lightway er en VPN-protokoll bygget av ExpressVPN. En VPN-protokoll er metoden en enhet bruker for å koble til en VPN-server. De fleste leverandører bruker de samme standardprotokollene, men vi bestemte oss for å utvikle en med overlegen ytelse, noe som gjør brukernes VPN-opplevelse ikke bare raskere og mer pålitelig, men også sikrere.
Lightway bruker wolfSSL, hvis veletablerte kryptografibibliotek har blitt grundig gransket av tredjeparter, inkludert mot FIPS 140-2-standarden.
Lightway bevarer også «perfect forward secrecy» (PFS), med dynamiske krypteringsnøkler som regelmessig slettes og regenereres.
Kjernebiblioteket til Lightway har åpen kildekode, noe som sikrer gjennomsiktighet og omfattende sikkerhetsvurdering.
Lightway inkluderer postkvantestøtte, og beskytter brukere mot angripere med tilgang til både klassiske datamaskiner og kvantedatamaskiner. ExpressVPN er en av de første VPN-leverandørene som implementerer postkvantebeskyttelse, og hjelper brukere med å forbli sikre i møte med fremskritt innen kvantedatabehandling.
Les mer om Lightway, og les utviklerbloggen vår for teknisk innsikt fra ExpressVPNs programvareutviklere om hvordan Lightway fungerer og hva som gjør den bedre enn andre protokoller.
TrustedServer: Alle data slettes ved hver omstart
TrustedServer er VPN-serverteknologi vi har utviklet som gir brukerne våre større sikkerhet.
Den kjører bare på flyktig minne, eller RAM. Operativsystemet og appene skriver aldri til harddisker, som beholder alle data til de blir slettet eller skrevet over. Siden RAM krever strøm for å lagre data, slettes all informasjonen på en server hver gang den slås av og på igjen – noe som hindrer både data og potensielle inntrengere i å være igjen på maskinen.
Den er mer konsekvent. Med TrustedServer kjører hver eneste ExpressVPN-server den mest oppdaterte programvaren i stedet for at hver server mottar en oppdatering til forskjellige tider etter behov. Det betyr at ExpressVPN vet nøyaktig hva som kjører på hver eneste server, noe som minimerer risikoen for sårbarheter eller feilkonfigurering og forbedrer VPN-sikkerheten betraktelig.
TrustedServer-teknologien har blitt revidert av PwC.
Vil du ha en mer detaljert titt på de mange måtene TrustedServer beskytter brukere på? Les vårt dypdykk i teknologien, skrevet av ingeniøren som designet systemet.
Uavhengige sikkerhetsrevisjoner
Vi er forpliktet til å sette i gang grundige tredjepartsrevisjoner av produktene våre med stor hyppighet. Her er en omfattende liste over våre eksterne revisjoner, sortert kronologisk:
- En revisjon av Windows-appen for å verifisere utbedringen av et DNS-problem relatert til delt tunnelering (april 2024)
- En revisjon av KPMG for å vurdere våre personvernpolicyer (desember 2023)
- Den andre revisjonen av VPN-protokollen vår Lightway av Cure53 (november 2022)
En revisjon av Cure53 av nettleserutvidelsen ExpressVPN Keys (oktober 2022)
En revisjon av Cure53 av ExpressVPN-nettleserutvidelsen (oktober 2022)
En revisjon av KPMG av våre retningslinjer for ingen logger (september 2022)
En sikkerhetsrevisjon av Cure53 av iOS-appen vår (september 2022)
En sikkerhetsrevisjon av Cure53 av Android-appen vår (august 2022)
En revisjon av Cure53 av Linux-appen vår (august 2022)
En revisjon av Cure53 av macOS-appen vår (juli 2022)
En sikkerhetsrevisjon av Cure53 av Aircove-ruteren vår (juli 2022)
En sikkerhetsrevisjon av Cure53 av TrustedServer, vår interne VPN-serverteknologi (mai 2022)
En revisjon av F-Secure av Windows v12-appen vår (april 2022)
En sikkerhetsrevisjon av F-Secure av Windows v10-appen vår (mars 2022)
En sikkerhetsrevisjon av Cure53 av VPN-protokollen vår Lightway (august 2021)
En revisjon av PwC Switzerland på byggeverifiseringsprosessen vår (juni 2020)
En sikkerhetsrevisjon av Cure53 av nettleserutvidelsen vår (november 2018)
Bug bounty
Gjennom bug bounty-programmet vårt inviterer vi sikkerhetsforskere til å teste systemene våre og motta økonomiske belønninger for eventuelle problemer de finner. Dette programmet gir oss tilgang til et stort antall testere som jevnlig vurderer infrastrukturen og applikasjonene våre for sikkerhetsproblemer. Disse funnene blir deretter validert og utbedret for å sikre at produktene våre er så sikre som mulig.
Omfanget av programmet vårt inkluderer sårbarheter i våre VPN-servere, apper og nettleserutvidelser, nettstedet vårt og mer. For enkeltpersoner som rapporterer feil, tilbyr vi full safe harbor i samsvar med globale beste fremgangsmåter innen sikkerhetsforskning.
Bug bounty-programmet vårt administreres av Bugcrowd. Følg denne lenken for å finne ut mer eller rapportere en feil.
Bransjelederskap
Vi setter høye standarder for oss selv, men vi mener også at arbeidet vårt med å bygge opp et mer privat og sikkert internett ikke kan stoppe der – det er derfor vi samarbeider med hele VPN-bransjen for å heve standarden og beskytte brukerne bedre.
Vi var med på å grunnlegge og lede VPN Trust Initiative (VTI) sammen med Internet Infrastructure Coalition (i2Coalition) og flere andre store bransjeaktører. I tillegg til sin pågående påvirkningskampanje og arbeid for bevisstgjøring, har gruppen lansert VTI-prinsippene – delte retningslinjer for ansvarlige VPN-leverandører innenfor områdene sikkerhet, personvern, åpenhet og mer. Dette bygger på ExpressVPNs tidligere arbeid for åpenhet i samarbeid med Center for Democracy and Technology.
Noen av innovasjonene vi har vært i forkant av har bidratt til å drive framgang i VPN-bransjen. Vi var de første som utviklet TrustedServer, og andre har siden fulgt etter oss for å lansere lignende teknologi. Lightway er et annet eksempel på teknologi vi har bygd fra grunnen av, og vi håper at ved å tilby den som åpen kildekode, vil den ha innflytelse på VPN-bransjen som helhet.
Viktige personverninitiativer
Finn ut mer om hvordan vi beskytter personvernet til brukerne våre.
ioXT-sertifisert
ExpressVPN har blitt en av få VPN-apper som er sertifisert av ioXt Alliance for sikkerhetsstandarder, noe som gir forbrukerne muligheten til å bruke tjenestene våre med større trygghet.
Personvernfunksjoner i appen
Vi har introdusert en funksjon i appen vår for Android, kalt Beskyttelsessammendrag, som hjelper brukere med å beskytte personvernet med praktiske retningslinjer.
Digital Security Lab
Vi har lansert Digital Security Lab for å ta et dypdykk i virkelige personvernproblemer. Se verktøyene for lekkasjetesting, som hjelper deg med å bekrefte sikkerheten til VPN-et ditt.