- Home
- Trust
ExpressVPN Trust Center
ExpressVPN är i första hand ett integritetsföretag. Våra användare litar på att vi skyddar deras integritet med en branschledande kombination av hårdvara, mjukvara och mänsklig sinnrikhet. Här får du en inblick i hur vi gör oss förtjänta av den tilliten.
Säkerhet hos ExpressVPN: våra 4 nyckelstrategier
Läs mer om hur vi jobbar med cybersäkerhet för att hålla våra system och användare skyddade.
1. Göra systemen svåra att kompromettera
Från utveckling till leverans är ExpressVPN:s programvara skyddad mot att skadlig kod införs tack vare ett valideringssystem vi själva tagit fram och som blivit oberoende granskat.
Vi använder offentlig-privata nyckelpar i flera olika säkerhetssyften, som tvåfaktorsautentisering, underskrift av Git commits och anslutning till en server via SSH. Vi minskar risken för att våra privata nycklar blir stulna genom att förvara dem på fysiska säkerhetsenheter. Det innebär att även om våra arbetsstationer utsätts för risk kan ingen angripare stjäla våra privata nycklar.
De här enheterna är skyddade med starka lösenfraser och programmerade att "förstena" sig själva efter flera misslyckade försök att låsa upp dem. Enheterna kräver fysisk beröring för att kunna användas, vilket innebär att skadlig programvara inte kan stjäla nycklarna utan att en riktig människa är inblandad.
All produktionskod kräver minst en till person som kan agera granskare. Det gör det betydligt svårare att lägga in skadlig programvara, vare sig det sker via insiderverksamhet eller ifall en anställds arbetsstation blir exponerad.
Vi använder SSH som ett säkert sätt att få fjärråtkomst till våra viktigaste servrar. SSH-servrarna är programmerade att bara använda en uppsättning högsäkerhetschiffer, algoritmer för nyckelutväxling och MAC:ar. Vi tillåter heller inte anslutning som rot, och autentisering kan bara ske med hjälp av starka SSH-nycklar, aldrig med lösenord. Vi använder SSH-bastionservrar för att skilja produktionsinfrastrukturen från det öppna internet. De servrarna accepterar bara trafik från adresser på en IP-frilista.
All denna konfigurering är definierad i kod och därför referentgranskad och reproducerbar.
Mjukvaruberoenden i produktionsmiljön uppdateras automatiskt via oövervakade uppgraderingar.
2. Minimera potentiell skada
I syfte att minska risken att stulna nycklar används för att komma åt en VPN-server under falsk identitet gör vi det obligatoriskt för ExpressVPN:s applikation att checka in med våra API-servrar för att få uppdaterade konfigurationsinställningar. Våra applikationer autentiserar de servrar de ansluter till genom att validera den privata Certificate Authority-signaturen (CA) och common name för att försäkra att ingen angripare kan utge sig för att vara en av oss.
ExpressVPN:s lösenordshanterare (ExpressVPN Keys) använder nollkunskapskryptering för att säkerställa att ingen, inte ens ExpressVPN, kan avkryptera våra användares lagrade inloggningar. Nollkunskapskryptering innebär att om det uppstår ett dataintrång på våra servrar så kan angripare inte avkryptera information som våra användare lagrar. Inloggningar avkrypteras endast på användarens enhet med krypteringsnycklar som genereras av användarens primära lösenord, vilket bara användaren känner till.
Modellering av säkerhets- och integritetshot är en del av designfasen i alla system. Vi använder MITRE ATT&CK-ramverket för att identifiera hot som kan finnas i vår design, överväger olika sätt att få bort dem och vidtar lämpliga åtgärder för att minimera de potentiella riskerna.
Alla våra användare, tjänster och procedurer följer principen om lägsta behörighet. Våra anställda har bara åtkomstbehörighet till de tjänster och produktionssystem som är nödvändiga för just deras roll. Våra kundtjänsthandläggare arbetar under två miljöer, en obegränsad för allmän surfaktivitet och en begränsad för att komma åt känsliga system. Sådana åtgärder minimerar inverkan och omintetgör målen hos angripare ifall de skulle lyckas ta över något av våra konton.
3. Minimera komprometteringstiden
Vi övervakar kontinuerligt våra interna tjänster och vår infrastruktur för att hitta eventuell onormal eller obehörig aktivitet. Vårt säkerhetsteam som har dygnet runt-jour utför övervakning och bedömning av potentiella säkerhetshot i realtid.
Många av våra system förstörs och återuppbyggs automatiskt flera gånger i veckan eller så ofta som varje dag. Det begränsar den tid en potentiell angripare kan snoka i våra system.
4. Validera våra säkerhetskontroller
Vi utför regelbundna penetrationstester för att utvärdera våra tjänster och vår mjukvara och kunna identifiera sårbarheter och svagheter. Våra testare har full tillgång till källkoden och använder en kombination av automatisk och manuell testning för att garantera en ingående utvärdering av våra tjänster och produkter.
Vi tar hjälp av oberoende granskningsorgan för att utvärdera säkerheten hos våra tjänster och vår programvara. De uppdragen fungerar som en validering av att våra interna kontroller är effektiva i fråga om att minska säkerhetsrisker och erbjuder samtidigt våra kunder dokumentation på att de utsagor vi gör om våra produkters säkerhet faktiskt stämmer.
Se hela listan med revisionsrapporter
Innovation
Vi strävar hela tiden efter att möta och överträffa branschens säkerhetsstandarder, och vi driver en ständigt pågående innovationsprocess i en obeveklig jakt på nya sätt att skydda våra produkter och användare. Här lyfter vi fram två banbrytande tekniker som tagits fram av ExpressVPN.
Lightway: vårt protokoll för en överlägsen VPN-upplevelse
Lightway är ett VPN-protokoll byggt av ExpressVPN. Ett VPN-protokoll är den metod en enhet använder för att ansluta till en VPN-server. De flesta leverantörer använder samma standardprotokoll, men vi bestämde oss för att skapa ett med överlägsen prestanda som inte bara gör användarens VPN-upplevelse snabbare och mer pålitlig utan också säkrare.
Lightway använder wolfSSL, vars väletablerade kryptografi noga granskats av tredje part, även mot FIPS 140-2-standarden.
Lightway bibehåller perfekt framåtsekretess med dynamiska krypteringsnycklar som regelbundet rensas och återskapas.
Huvuddelen av Lightways bibliotek har öppen källkod vilket garanterar transparens och möjlighet till omfattande säkerhetsutvärdering.
Lightway inkluderar stöd för postkvant vilket skyddar användare mot angripare som har tillgång till både klassiska datorer och kvantdatorer. ExpressVPN är en av de första VPN-leverantörerna som använder postkvantskydd för att skydda användare i takt med att kvantdatavetenskapet utvecklas.
Lär dig mer om Lightway och läs vår utvecklarblogg för teknisk information från ExpressVPN mjukvaruutvecklare om hur Lightway fungerar och vad som gör det överlägset andra protokoll.
TrustedServer: alla data raderas vid varje omstart
TrustedServer är VPN-serverteknologi som vi tagit fram och som ger våra kunder en högre grad av säkerhet.
Den körs på volatilt minne, eller RAM. Operativsystem och appar skriver aldrig över på hårddiskar, som behåller alla data tills de raderas eller skrivs över. Eftersom RAM kräver ström för att lagra data raderas all information på en server varje gång strömmen slås av och på igen vilket hindrar både data och potentiella inkräktare från att stanna kvar på servern.
Den bidrar till ökad stringens. Med TrustedServer kör var och en av ExpressVPN:s servrar den senast uppdaterade programvaran istället för att varje server ska få en uppdatering vid olika tidpunkter efter behov. Det innebär att ExpressVPN vet exakt vad som körs på varje server, vilket minskar risken för sårbarhet eller felkonfigurering och ökar VPN-säkerheten avsevärt.
TrustedServer-teknologin har granskats av PwC.
Vill du ta en mer detaljerad titt på hur TrustedServer skyddar våra användare? Läs vår fördjupande artikel skriven av ingenjören som utformat systemet.
Oberoende säkerhetsgranskningar
Vi jobbar med att regelbundet utföra djupgående revisioner från tredje part av våra produkter. Här är en lista med externa revisioner som vi har utfört, i kronologisk ordning:
- En revision av Windows-appen för att bekräfta åtgärder av ett DNS-problem relaterat till split tunnelling (april 2024)
- En revision utförd av KPMG för att bedöma påståenden i vår integritetspolicy (december 2023)
- Den andra revisionen av vårt VPN-protokoll Lightway, utförd av Cure53 (november 2022)
En granskning från Cure53 av ExpressVPN Keys webbläsartillägg (oktober 2022)
En granskning från Cure53 av ExpressVPN:s webbläsartillägg (oktober 2022)
Revision från KPMG av vår policy mot loggar (september 2022)
Säkerhetsrevision från Cure53 av vår app för iOS (september 2022)
Säkerhetsrevision från Cure53 av vår app för Android (augusti 2022)
Revision från Cure53 av vår app för Linux (augusti 2022)
Revision från Cure53 av vår app för macOS (juli 2022)
Säkerhetsrevision från Cure53 av vår Aircove-router (juli 2022)
Säkerhetsrevision från Cure 53 av TrustedServer, vår egna VPN-serverteknik (maj 2022)
Revision från F-Secure av vår app för Windows, v12 (april 2022)
Säkerhetsrevision från F-Secure av vår app för Windows, v10 (mars 2022)
Säkerhetsrevision från Cure53 av vårt VPN-protokoll Lightway (augusti 2021)
Revision från PwC Switzerland av vår process för buildverifiering (juni 2020)
Revision från PwC Switzerland av vår efterlevnad av sekretesspolicyn och egna teknik TrustedServer (juni 2019)
Säkerhetsrevision från Cure53 av vårt webbläsartillägg (november 2018)
Buggbelöning
Via vårt buggbelöningsprogram bjuder vi in säkerhetsforskare att testa våra system och få ekonomisk belöning för eventuella problem de upptäcker. Programmet ger oss tillgång till ett stort antal testare som regelbundet granskar vår infrastruktur och våra applikationer för att hitta säkerhetsproblem. Fynden utvärderas och avhjälps sedan för att se till att våra produkter är så säkra som möjligt.
Programmet omfattar sårbarheter i våra VPN-servrar, appar och webbläsartillägg, vår webbplats och annat. För personer som rapporterar buggar tillhandahåller vi safe harbor som följer globala best practices inom säkerhetsforskningen.
Vårt buggbelöningsprogram sköts av Bugcrowd. Följ den här länken för att läsa mer eller rapportera en bugg.
Branschledarskap
Vi sätter förvisso rigorösa regler för oss själva, men vårt arbete med att bygga ett mer privat och säkert internet går bortom det. Därför samarbetar vi med hela VPN-branschen för att höja standarden och ge användarna bättre skydd.
Vi är medgrundare till och ordförande i VPN Trust Initiative (VTI) tillsammans med Internet Infrastructure Coalition (i2Coalition) och flera andra viktiga aktörer i branschen. Utöver det fortlöpande arbetet med medvetenhet och befrämjande har gruppen lanserat the VTI Principles, vilket är delade riktlinjer för ansvarsfulla VPN-leverantörer som rör säkerhet, integritet, transparens och mycket mer. De bygger på ExpressVPN:s tidigare arbete med transparens i sambete med Center for Democracy and Technology.
En del av de innovationer vi gått i bräschen för har bidragit till att föra VPN-branschen framåt. Vi var först med att ta fram TrustedServer, och andra har sedan dess följt i våra fotspår för att kunna lansera liknande teknologi. Lightway är ett annat exempel på teknologi vi byggt från grunden, och vi hoppas att det tack vare den öppna källkoden kommer ha inverkan på VPN-branschen som helhet.
Betydande integritetsinitiativ
Få reda på mer om hur vi skyddar våra användares integritet.
ioXT-certifiering
ExpressVPN är en av få VPN-appar som certifierats av ioXt Alliance för säkerhetsstandarder som gör att våra kunder kan använda våra tjänster med större tillförsikt.
Integritetsfunktioner i appen
Vi har lanserat en funktion i vår app för Android som vi kallar Protection Summary och som hjälper användare skydda sin integritet med praktiska riktlinjer.
Digital Security lab
Vi har lanserat Digital Security Lab för att kunna djupdyka i den riktiga världens integritetsproblem. Ta en titt på dess verktyg för läckagetestning som hjälper dig validera säkerheten hos ditt VPN.