ExpressVPN Trust Center

Software-ul ExpressVPN este protejat, de la creare până la livrare, împotriva contaminării cu cod malițios, datorită unui sistem intern de verificare a build-urilor, analizat independent.

Folosim perechi de chei publice-private pentru o varietate de scopuri de securitate, precum autentificarea cu doi factori, semnarea commit-urilor Git și conectarea la un server prin SSH. Reducem riscul furtului cheilor private păstrându-le pe dispozitive hardware de securitate. Astfel, chiar dacă stațiile noastre de lucru sunt compromise, un atacator nu poate fura cheile private.

Aceste dispozitive sunt protejate cu parole puternice și sunt configurate să se blocheze definitiv după mai multe încercări eșuate de deblocare. Funcționarea lor necesită atingere fizică, ceea ce înseamnă că malware-ul nu poate fura cheile fără intervenția unui utilizator.

Tot codul destinat mediului de producție necesită cel puțin un alt reviewer uman. Acest lucru face mult mai dificilă introducerea de cod malițios, fie din interior, fie în cazul compromiterii stației de lucru a unui angajat.

Folosim SSH ca metodă sigură pentru a obține acces de la distanță la serverele noastre critice. Aceste servere sunt configurate să utilizeze doar un set de cifruri extrem de sigure, algoritmi de schimb de chei și MAC-uri. De asemenea, nu permitem conectarea ca utilizator root, iar autentificarea se poate realiza exclusiv cu chei SSH puternice—parolele nu sunt permise. Folosim gazde bastion SSH intermediare pentru a separa infrastructura de producție de internetul public. Aceste sisteme acceptă trafic doar de la adrese incluse pe o listă albă de IP-uri.

Toate aceste configurări sunt definite în cod, ceea ce le face verificabile de colegi și reproductibile.

Pentru mașinile din producție, dependențele software sunt actualizate automat prin actualizări nesupravegheate.

Pentru a reduce riscul utilizării cheilor furate în scopul impersonării unui server VPN, solicităm aplicației ExpressVPN să comunice cu serverele noastre API pentru a primi setări de configurare actualizate. Aplicațiile noastre autentifică serverele la care se conectează prin validarea semnăturii Autorității de Certificare (CA) private și a numelui comun, asigurându-se că un atacator nu ne poate impersona.

Când folosești ExpressVPN, datele tale sunt protejate de matematica avansată a standardului AES-256, același standard de criptare adoptat de guvernul SUA și de încredere pentru experții în securitate din întreaga lume pentru protejarea informațiilor clasificate.

Când utilizezi managerul de parole ExpressVPN (ExpressKeys), datele tale sensibile sunt protejate prin criptare zero-knowledge astfel încât nimeni—nici măcar noi—nu poate decripta informațiile stocate în ExpressKeys. Toate informațiile sunt decriptate doar pe dispozitivul tău și numai cu ajutorul cheilor de criptare generate de parola principală, cunoscută exclusiv de tine.

Pentru a asigura securitatea tehnică și confidențialitatea soluției ExpressVPN Dedicated IP (DIP), folosim alocarea IP zero-knowledge și tokenuri anonimizate împiedicând administratorii ExpressVPN să identifice un utilizator pe baza adresei sale IP dedicate.

Modelarea amenințărilor privind securitatea și confidențialitatea este integrată în faza de proiectare a fiecărui sistem. Folosim cadrul MITRE ATT&CK pentru a identifica amenințările potențiale, pentru a analiza metodele de eliminare a acestora și pentru a aplica măsuri adecvate în vederea minimizării riscurilor.

Toți utilizatorii, serviciile și operațiunile noastre respectă modelul privilegiului minim. Angajații au acces doar la serviciile și sistemele de producție necesare rolului lor. Agenții de asistență pentru clienți lucrează în două medii: unul nesigur pentru activități generale de navigare pe web și unul restrictiv pentru accesarea sistemelor sensibile. Aceste măsuri reduc impactul și împiedică obiectivele atacatorilor, chiar dacă aceștia reușesc să compromită unul dintre conturile noastre.

Monitorizăm continuu serviciile interne și infrastructura pentru a detecta orice activitate anormală sau neautorizată. Echipa noastră de securitate, disponibilă 24/7, realizează monitorizarea în timp real și gestionează alertele de securitate.

Multe dintre sistemele noastre sunt distruse și reconstruite automat de mai multe ori pe săptămână, dacă nu chiar zilnic. Acest proces limitează perioada în care un atacator ar putea rămâne nedetectat în sistemele noastre.