Κέντρο εμπιστοσύνης ExpressVPN

Το λογισμικό του ExpressVPN προστατεύεται, από τη δημιουργία έως τη διάθεσή του, από την εισχώρηση κακόβουλου κώδικα, χάρη σε ένα εσωτερικό σύστημα επαλήθευσης, το οποίο έχει υποβληθεί σε ανεξάρτητο έλεγχο.

Χρησιμοποιούμε ζεύγη δημόσιων-ιδιωτικών κλειδιών για διάφορους σκοπούς ασφάλειας, όπως η επαλήθευση δύο παραγόντων, η υπογραφή των Git commits και η σύνδεση σε διακομιστές μέσω SSH. Μειώνουμε τον κίνδυνο κλοπής των ιδιωτικών κλειδιών μας, αποθηκεύοντάς τα σε συσκευές ασφαλείας. Αυτό σημαίνει ότι ακόμη και σε περίπτωση παραβίασης των σταθμών εργασίας μας, δεν είναι δυνατή η κλοπή των ιδιωτικών κλειδιών μας.

Αυτές οι συσκευές προστατεύονται με ισχυρά συνθηματικά και είναι ρυθμισμένες να κλειδώνουν οριστικά μετά από επαναλαμβανόμενες αποτυχημένες προσπάθειες πρόσβασης. Για τη λειτουργία τους απαιτείται φυσική επαφή, πράγμα που σημαίνει ότι το κακόβουλο λογισμικό δεν μπορεί να υποκλέψει τα κλειδιά χωρίς ανθρώπινη παρέμβαση.

Όλος ο κώδικας της παραγωγής απαιτεί αναθεώρηση από τουλάχιστον ένα ακόμη άτομο. Αυτό καθιστά πολύ πιο δύσκολη την εισαγωγή κακόβουλου κώδικα, είτε λόγω εσωτερικής απειλής είτε σε περίπτωση παραβίασης του σταθμού εργασίας ενός υπαλλήλου.

Χρησιμοποιούμε το SSH ως ασφαλή μέθοδο για την απομακρυσμένη πρόσβαση στους πιο σημαντικούς διακομιστές μας. Οι διακομιστές SSH έχουν ρυθμιστεί ώστε να χρησιμοποιούν αποκλειστικά πολύ ασφαλείς αλγορίθμους για κρυπτογράφηση, ανταλλαγή κλειδιών και MAC. Επίσης, δεν επιτρέπουμε τη σύνδεση ως root χρήστες, η επαλήθευση μπορεί να πραγματοποιηθεί μόνο μέσω ισχυρών κλειδιών SSH και δεν επιτρέπονται οι κωδικοί πρόσβασης. Χρησιμοποιούμε ενδιάμεσους σταθμούς (bastion hosts) για τη σύνδεση SSH, ώστε να απομονώνουμε την υποδομή παραγωγής από το ανοιχτό διαδίκτυο. Αυτά τα μηχανήματα δέχονται κίνηση μόνο από διευθύνσεις που ανήκουν σε μια λίστα επιτρεπόμενων IP.

Όλες αυτές οι ρυθμίσεις ορίζονται στον κώδικα, διασφαλίζοντας έλεγχο από συνεργάτες και δυνατότητα αναπαραγωγής.

Στα συστήματα παραγωγής, οι εξαρτήσεις λογισμικού ενημερώνονται αυτόματα μέσω unattended upgrades (αυτόματες αναβαθμίσεις χωρίς επίβλεψη).

Για να μειώσουμε τον κίνδυνο χρήσης κλεμμένων κλειδιών για πλαστοπροσωπία διακομιστή VPN, απαιτούμε η εφαρμογή ExpressVPN να επικοινωνεί με τους API διακομιστές μας για να λαμβάνει ενημερωμένες ρυθμίσεις. Οι εφαρμογές μας αυθεντικοποιούν τους διακομιστές στους οποίους συνδέονται, επαληθεύοντας την υπογραφή της ιδιωτικής αρχής πιστοποίησης (CA) και το common name, διασφαλίζοντας ότι ο επιτιθέμενος δεν μπορεί να μας πλαστοπροσωπήσει.

Όταν χρησιμοποιείτε το ExpressVPN, τα δεδομένα σας προστατεύονται με προηγμένη κρυπτογράφηση AES-256, το ίδιο πρότυπο που χρησιμοποιεί η κυβέρνηση των ΗΠΑ και εμπιστεύονται ειδικοί ασφάλειας παγκοσμίως για την προστασία απόρρητων πληροφοριών.

Όταν χρησιμοποιείτε τον διαχειριστή κωδικών πρόσβασης του ExpressVPN (ExpressKeys), τα ευαίσθητα δεδομένα σας προστατεύονται με κρυπτογράφηση μηδενικής γνώσης, έτσι ώστε κανείς, ούτε καν εμείς, να μην μπορεί να αποκρυπτογραφήσει τις πληροφορίες που είναι αποθηκευμένες στο ExpressKeys. Όλες οι πληροφορίες αποκρυπτογραφούνται αποκλειστικά στη συσκευή του χρήστη και μπορούν να αποκρυπτογραφηθούν μόνο με τη χρήση κλειδιών κρυπτογράφησης που δημιουργούνται από τον κύριο κωδικό πρόσβασης του χρήστη, τον οποίο γνωρίζει μόνο ο ίδιος.

Για να διασφαλίσουμε ότι η λύση της αποκλειστικής IP (DIP) του ExpressVPN παρέχει κορυφαίο επίπεδο ασφαλείας και απορρήτου, χρησιμοποιούμε zero-knowledge εκχώρηση διεύθυνσης IP και blinded tokens, ώστε να αποτρέψουμε ακόμα και τους διαχειριστές του ExpressVPN από το να αναγνωρίσουν τους χρήστες από τη διεύθυνση της αποκλειστικής IP τους.

Η μοντελοποίηση απειλών ασφάλειας και απορρήτου ενσωματώνεται στο στάδιο σχεδιασμού κάθε συστήματος. Χρησιμοποιούμε το MITRE ATT&CK framework για τον εντοπισμό απειλών κατά τον σχεδιασμό, την αξιολόγηση τρόπων αντιμετώπισης και την εφαρμογή κατάλληλων μέτρων για τη μείωση των πιθανών κινδύνων.

Όλοι οι χρήστες, οι υπηρεσίες και οι λειτουργίες μας ακολουθούν το μοντέλο των ελάχιστων δικαιωμάτων. Το επίπεδο πρόσβασης των εργαζομένων μας περιορίζεται μόνο στις υπηρεσίες και στα συστήματα παραγωγής που απαιτούνται για τα καθήκοντά τους. Οι εκπρόσωποι υποστήριξης πελατών έχουν δύο διακριτά περιβάλλοντα: ένα για γενική χρήση και ένα με αυστηρούς περιορισμούς για πρόσβαση σε ευαίσθητα συστήματα. Τα μέτρα αυτά περιορίζουν τον αντίκτυπο των επιθέσεων και αποτρέπουν τους στόχους των επιτιθέμενων, ακόμη και αν ποτέ αποκτήσουν πρόσβαση σε κάποιον από τους λογαριασμούς μας.

Παρακολουθούμε συνεχώς τις εσωτερικές υπηρεσίες και την υποδομή μας για τυχόν ανώμαλη ή μη εξουσιοδοτημένη δραστηριότητα. Η ομάδα ασφάλειας μας λειτουργεί 24/7 και παρακολουθεί σε πραγματικό χρόνο τις ειδοποιήσεις ασφάλειας.

Πολλά από τα συστήματά μας καταστρέφονται και ανακατασκευάζονται αυτόματα αρκετές φορές την εβδομάδα, αν όχι σε καθημερινή βάση. Αυτό περιορίζει το χρονικό διάστημα κατά το οποίο ένας εισβολέας μπορεί να παραμένει απαρατήρητος στα συστήματά μας.