- Home
- Privacy- en veiligheidscentrum
Privacy- en veiligheidscentrum van ExpressVPN
ExpressVPN is allereerst een privacybedrijf. Onze gebruikers vertrouwen erop dat wij hun privacy beschermen met een vooruitstrevende combinatie van hardware, software en menselijk vernuft. Hier kunt u lezen hoe wij eraan werken om dat vertrouwen te verdienen.
Veiligheid bij ExpressVPN: onze 4 kernstrategieën
Ontdek welke cybersecurity-initiatieven wij ontwikkelen om onze systemen en gebruikers te beschermen.
1. Zorgen dat de systemen moeilijk te kraken zijn
De ExpressVPN-software is vanaf het ontwerp tot aan de levering beschermd tegen besmetting met schadelijke codes dankzij een door ons zelf gebouwd verificatiesysteem dat onafhankelijk beoordeeld is.
We gebruiken publiek-private sleutelparen voor verschillende beveiligingsdoeleinden, zoals tweefactorauthenticatie, het tekenen van Git commits en verbinden met een server via SSH. Wij beperken het risico dat onze private sleutels worden gestolen door ze op veiligheidsapparatuur te bewaren. Dat betekent dat, zelfs als er op onze werkstations wordt ingebroken, een aanvaller onze private sleutels niet kan stelen. Deze hardware is beveiligd met sterke wachtwoorden en geconfigureerd om te vergrendelen (brick) na meerdere mislukte pogingen om te ontgrendelen. Deze veiligheidsapparaten vereisen een fysieke aanraking om te werken, wat betekent dat malware geen sleutels kan stelen zonder menselijke tussenkomst.
Voor alle productiecode geldt dat er minstens één ander persoon als beoordelaar optreedt. Dit maakt het veel moeilijker om schadelijke code in te bouwen, zowel door een interne dreiging als wanneer er is ingebroken op het werkstation van een medewerker.
Wij gebruiken het SSH-protocol als een veilige manier om onze belangrijkste servers op afstand te kunnen bereiken. Deze SSH-servers zijn geconfigureerd om alleen gebruik te maken van een set zeer veilige codes, algoritmen voor sleuteluitwisseling en MAC's. Wij staan verbinden als root niet toe, en authenticatie kan alleen door middel van sterke SSH-sleutels – we werken niet met wachtwoorden. We gebruiken tussenliggende SSH-bastionhosts om de productie-infrastructuur te scheiden van het open internet. Deze machines accepteren alleen verkeer dat afkomstig is van een lijst met goedgekeurde IP-adressen. Al deze configuraties zijn vastgelegd in code, dus het is beoordeeld door collega's en reproduceerbaar.
Voor de productie-installaties wordt de afhankelijke software automatisch bijgewerkt door upgrades die geen aandacht nodig hebben.
2. Mogelijke schade minimaliseren
Om het risico te verkleinen dat gestolen sleutels worden gebruikt om een VPN-server te imiteren, vereisen we dat de ExpressVPN-applicatie incheckt bij onze API-servers om bijgewerkte configuratie-instellingen te ontvangen. Onze applicaties authenticeren de servers waarmee zij verbinden door de handtekening van de private certificeringsinstantie (CA) en de gewone naam te valideren, zodat een aanvaller ons niet kan nabootsen.
De wachtwoordmanager van ExpressVPN (genaamd ExpressVPN Keys) maakt gebruik van zero-knowledge encryptie om ervoor te zorgen dat niemand — zelfs ExpressVPN niet — de opgeslagen inloginformatie van onze gebruikers kan ontcijferen. Zero-knowledge encryptie verzekert je ervan dat, zelfs als er op onze servers zou zijn ingebroken, een aanvaller niet in staat zou zijn om de opgeslagen informatie van onze gebruikers te ontcijferen. De informatie worden alleen maar ontcijferd op het apparaat van de gebruikers, met gebruik van encryptiesleutels die worden gegenereerd door hun primaire wachtwoord — en dat weten zij alleen zelf.
Het uitwerken van modellen voor bedreigingen van veiligheid en privacy is een vast onderdeel van de ontwerpfase van alle systemen. We gebruiken het MITRE ATT&CK-framework om bedreigingen op te sporen die in onze ontwerpen kunnen zitten, bedenken manieren om ze te verwijderen en nemen passende maatregelen om het potentiële risico te minimaliseren.
Al onze gebruikers, diensten en projecten volgen het model van minimale bevoegdheden. Onze medewerkers hebben alleen geauthoriseerde toegang tot de diensten en productiesystemen die zij voor hun taak nodig hebben. Onze helpdeskmedewerkers werken in twee omgevingen, een niet-vertrouwde voor de algemene activiteiten waarvoor zij het internet moeten verkennen, en een beperkte voor als zij in gevoelige systemen moeten zijn. Deze maatregelen minimaliseren het effect en dwarsbomen de bedoelingen van de aanvallers in het geval zij erin zouden slagen een van onze accounts over te nemen.
3. De duur van de schade minimaliseren
Wij monitoren voortdurend onze interne diensten en infrastructuur op schadelijke of ongeauthoriseerde activiteiten. Ons veiligheidsteam, dat dag en nacht opgeroepen kan worden, voert realtime monitoring uit en beoordeelt de ernst van veiligheidsalarmen.
Veel van onze systemen worden een paar keer per week of zelfs dagelijks vernietigd en opnieuw opgebouwd. Dit beperkt de tijd die een mogelijke aanvaller in ons systeem kan blijven.
4. Valideren van onze veiligheidscontroles
Wij voeren regelmatig penetratietests uit om onze systemen en software te evalueren en kwetsbaarheden en zwakke plekken op te sporen. Onze testers hebben volledig toegang tot de broncodes en voeren een combinatie van geautomatiseerde en handmatige tests uit om te zorgen voor een grondige evaluatie van onze diensten en producten.
Wij huren onafhankelijke auditoren in om de veiligheid van onze diensten en software te beoordelen. Deze inspanningen helpen bevestigen dat onze interne controles effectief zijn in het verminderen van veiligheidsrisico's, terwijl klanten documentatie krijgen over de juistheid van de veiligheidsclaims die we maken over onze producten. Bekijk de volledige lijst van auditverslagen
Innovatie
Terwijl we ernaar streven om aan de veiligheidsnormen van de industrie te voldoen en die zelfs te overtreffen, richten we ons ook voortdurend op innovatie en gaan we op zoek naar nieuwe manieren om onze producten en de privacy van onze gebruikers te beschermen. We belichten hier twee baanbrekende technologieën die door ExpressVPN zijn ontwikkeld.
Lightway: ons protocol dat een superieure VPN-beleving biedt
Lightway is een VPN-protocol dat door ExpressVPN zelf is gebouwd. Een VPN-protocol is de manier waarop een apparaat verbindt met een VPN-server. De meeste providers gebruiken dezelfde standaardprotocollen, maar wij hebben ons best gedaan om er een te bouwen met superieure prestaties, waardoor de VPN-ervaring van gebruikers niet alleen sneller en betrouwbaarder wordt, maar ook veiliger.
Lightway maakt gebruik van wolfSSL, waarvan de gevestigde coderingsbibliotheek uitvoerig is doorgelicht en gestest door derden, onder meer aan de hand van FIPS 140-2.
Lightway bewaakt ook de perfecte voorwaartse geheimhouding met dynamische encryptiesleutels die regelmatig worden gezuiverd en opnieuw gegenereerd.
De kernbibliotheek van Lightway is open-source gemaakt om ervoor te zorgen dat het transparant door iedereen kan worden gebruikt om de veiligheid te bevorderen.
Lightway biedt postkwantumondersteuning, waardoor gebruikers beschermd worden tegen aanvallers die toegang hebben tot zowel klassieke als kwantumcomputers. ExpressVPN is een van de eerste VPN-providers die postkwamtumbescherming implementeert, waardoor gebruikers veilig blijven in het licht van de vooruitgang op het gebied van kwantumcomputers.
Lees meer over Lightway, en lees ons dev-blog voor technische inzichten over hoe Lightway werkt en waarom het beter is dan de rest, rechtstreeks van de ontwikkelaars van ExpressVPN-software.
Trusted Server: alle gegevens worden gewist bij elke reboot
TrustedServer is een VPN-servertechnologie die we zelf ontwikkeld hebben om onze gebruikers meer veiligheid te bieden.
Het draait enkel op vluchtig geheugen, oftewel RAM. Het besturingssysteem en de apps schrijven nooit naar harde schijven die alle data bewaren totdat zij worden gewist of overschreven. Aangezien RAM stroom nodig heeft om gegevens te bewaren, wordt alle informatie op een server gewist telkens die uit en weer aan wordt gezet — dit voorkomt dat data of mogelijke inbrekers op de machine kunnen blijven.
Het maakt alles consistenter. Met TrustedServer draait op alle ExpressVPN-servers de meest recente software, omdat de servers allemaal op hetzelfde moment de update ontvangen. Dat betekent dat ExpressVPN precies weet wat er op elke server draait — zo wordt het risico van kwetsbaarheden of verkeerde configuraties verminderd en de veiligheid van de VPN aanzienlijk verhoogd.
De TrustedServer-technologie is geauditeerd door PwC.
Wilt u meer weten over alle manieren waarop TrustedServer gebruikers beschermt? Neem een duik in onze technologie, geschreven door de ingenieur die het systeem ontworpen heeft.
Onafhankelijke beveiligingsaudits
Wij verbinden ons ertoe om met grote regelmaat grondige audits van onze producten door derden te laten uitvoeren. Hier is een uitgebreide lijst van onze externe audits, chronologisch gerangschikt:
- Een audit van de Windows-app om te bevestigen dat een DNS-probleem in relatie tot split tunneling is verholpen (April 2024)
- Een audit door KPMG om de claims van ons privacybeleid te onderzoeken (December 2023)
- De tweede audit van ons VPN-protocol Lightway door Cure53 (November 2022)
Een audit door KPMG van ons no-logs-beleid (september 2022)
Een beveiligingsaudit door Cure53 van onze app voor iOS (september 2022)
Een beveiligingsaudit door Cure53 van onze app voor Android (augustus 2022)
Een audit door Cure53 van onze Linux app (augustus 2022)
Een audit door Cure53 van onze Linux app (juli 2022)
Een beveiligingsaudit door Cure53 van onze Aircove router (juli 2022)
Een beveiligingsaudit door Cure53 van TrustedServer, onze eigen VPN-servertechnologie (mei 2022)
Een controle door F-Secure van onze Windows v12 app (april 2022)
Een controle door F-Secure van onze Windows v10 app (maart 2022)
Een beveiligingsaudit door Cure53 van ons VPN-protocol Lightway (augustus 2021)
Een audit door PwC Switzerland van ons bouwverificatieproces (juni 2020)
Een beveiligingsaudit door Cure53 van onze browserextensie (november 2018)
Bug bounty
Met ons bug bounty-programma nodigen wij veiligheidsonderzoekers uit om onze systemen te testen; zij ontvangen een financiële beloning voor elk probleem dat zij vinden. Dit programma brengt ons in contact met een groot aantal testers die onze infrastructuur en applicaties regelmatig onderzoeken. De bevindingen worden gevalideerd en verholpen om ervoor te zorgen dat onze producten zo veilig mogelijk zijn.
De reikwijdte van ons programma omvat kwetsbaarheden in onze VPN-servers, onze apps en browserextensies, onze website en meer. Aan mensen die bugs rapporteren bieden wij een veilige haven in overeenstemming met wereldwijde best practices op het gebied van veiligheidsonderzoek.
Ons bug bounty-programma wordt beheerd door Bugcrowd. Volg deze link om meer te lezen of een bug te rapporteren.
Leider in de branche
Hoewel we onszelf strenge normen stellen, geloven we ook dat ons werk om een meer privé en veiliger internet te bouwen daar niet kan stoppen. Daarom werken we samen met de hele VPN-industrie om de normen te verhogen en gebruikers beter te beschermen.
Wij zijn mede-oprichter en voorzitter van het VPN Trust Initiative (VTI) samen met de Internet Infrastructure Coalition (i2Coalition) en verschillende andere grote spelers in de branche. Naast de voortdurende inspanning om het bewustzijn te vergroten, heeft de groep de VTI-principes gelanceerd: een gedeelde richtlijn voor verantwoordelijke VPN-providers op het gebied van veiligheid, privacy, transparantie en meer. Deze principes bouwen voort op het eerdere transparantie-initiatief van ExpressVPN in samenwerking met het Center for Democracy and Technology.
Sommige van onze innovaties hebben de VPN-industrie vooruitgeholpen. Wij waren de eersten die TrustedServer creëerden en sindsdien hebben anderen ons voorbeeld gevolgd om een vergelijkbare technologie te implementeren. Lightway is een ander voorbeeld van een technologie die we vanaf de basis hebben ontwikkeld, en door het open-source te maken hopen wij dat het een uitwerking zal hebben op de hele VPN branche.
Opmerkelijke privacy-initiatieven
Lees meer over hoe wij de privacy van onze gebruikers beschermen.
ioXT-certificering
ExpressVPN is een van de weinige VPN-apps die is gecertificeerd door de ioXt Alliance voor veiligheidsstandaarden, waardoor consumenten onze diensten met meer vertrouwen kunnen gebruiken.
Privacyfuncties in de app
Onze Android-app heeft een ingebouwde functie met een beveiligingsoverzicht waarmee gebruikers hun privacy kunnen beschermen met handige richtlijnen.
Digitaal Veiligheidslab
Wij hebben het Digitale Veiligheidslab opgericht om diep in de privacykwesties van de echte wereld te duiken. Bekijk bijvoorbeeld de lektest tools, die helpen om de veiligheid van uw VPN te valideren.