Comprendere gli audit indipendenti di ExpressVPN

Questo articolo spiega come i sistemi di sicurezza di ExpressVPN vengono messi alla prova da società esterne indipendenti con processi di audit e come consultarne i report risultanti.

Come ExpressVPN viene sottoposta ad audit indipendenti

Dal 2018 in poi, ExpressVPN commissiona su base regolare audit indipendenti, in linea con l’ulteriore sviluppo dei prodotti. Questi audit vengono condotti da società di sicurezza esterne, alle quali viene fornito l’accesso al codice sorgente, all’infrastruttura interna e alla documentazione pertinente agli aspetti in esame. Il compito dei revisori è verificare se i sistemi e il software di ExpressVPN funzionano come descritto, nonché identificare eventuali vulnerabilità o problemi.

Ogni società di audit svolge il proprio lavoro in modo indipendente, seguendo la propria metodologia e i propri standard. ExpressVPN non influenza i risultati né le conclusioni dei revisori.

Se vengono rilevati problemi, questi vengono indicati nel report pubblicato. I revisori possono poi eseguire nuovi test per verificare che tutto sia stato risolto. Trovare problemi in un audit di sicurezza è normale, è parte del processo: è proprio ciò per cui i test indipendenti sono progettati.

Ogni audit riflette lo stato dei sistemi di ExpressVPN al momento del test, motivo per cui gli audit vengono commissionati con frequenza anziché solo occasionalmente.

Ti serve aiuto? Contatta il team di supporto ExpressVPN per ricevere assistenza immediata.

Volver arriba

Cosa coprono gli audit di ExpressVPN

Gli audit vengono commissionati su diverse parti del prodotto e dell’infrastruttura di ExpressVPN. Le aree valutate includono:

• Il protocollo Lightway: il protocollo VPN proprietario di ExpressVPN, sviluppato internamente e reso open source; regola in che modo i dispositivi si connettono ai server VPN.
• TrustedServer: la tecnologia server di ExpressVPN, che funziona interamente su memoria RAM in modo che tutti i dati vengano cancellati a ogni riavvio del server.
• App VPN per dispositivi desktop e mobili: le applicazioni di ExpressVPN per sistemi Windows, macOS, Linux, iOS e Android.
• Estensioni per browser: l’estensione di ExpressVPN per Chrome e Firefox e l’estensione del gestore di password ExpressKeys.
• Servizi aggiuntivi: ExpressAI, la piattaforma di intelligenza artificiale di ExpressVPN, che mette la privacy al primo posto; ExpressMailGuard, il nostro servizio di inoltro email sicuro; e Identity Defender, la nostra suite di servizi di protezione dell’identità (disponibile solo per gli Stati Uniti). È inoltre in corso un audit per ExpressKeys (gestore di password).
• Router Aircove: il router di ExpressVPN, che esegue la VPN a livello di rete anziché sui singoli dispositivi.
• La politica no-log e gli impegni in materia di privacy: per valutare se l’infrastruttura tecnica e i processi interni di ExpressVPN sono coerenti con quanto dichiarato nell’informativa sulla privacy. Qui puoi saperne di più sulla politica no-log di ExpressVPN.
• Il sistema di verifica delle build: il processo che garantisce che il software distribuito agli utenti corrisponda al codice sorgente, proteggendolo da eventuali manomissioni durante la distribuzione.

Ti serve aiuto? Contatta il team di supporto ExpressVPN per ricevere assistenza immediata.

Volver arriba

Chi conduce gli audit di ExpressVPN

Nell’ambito del programma di audit, ExpressVPN ha collaborato con diverse affermate società indipendenti che operano nel campo della sicurezza informatica e dei servizi professionali, tra cui:

• Cure53: una società tedesca di cybersecurity specializzata in penetration test e audit di sicurezza.
• KPMG: una delle maggiori società di servizi professionali al mondo, fornisce servizi di audit e assurance secondo standard riconosciuti a livello internazionale.
• PwC Switzerland: la sede svizzera di una delle più grandi società di servizi professionali al mondo, che fornisce servizi di audit e assurance.
• F-Secure: una società di cybersecurity finlandese con lunga esperienza nella ricerca di vulnerabilità e nei test di sicurezza.
• Praetorian: una società di cybersecurity con sede negli Stati Uniti, specializzata in sicurezza offensiva e valutazioni tecniche del rischio.

Ti serve aiuto? Contatta il team di supporto ExpressVPN per ricevere assistenza immediata.

Volver arriba

Come consultare un report di audit di ExpressVPN

Non tutti i report di audit seguono la stessa struttura. Nel programma di audit di ExpressVPN, ne esistono due principali tipi; il formato che vedrai dipenderà da cosa sia stato valutato:

Penetration test e audit del codice sorgente

Questo tipo di report di audit include generalmente:

• L’ambito di applicazione: definisce esattamente cosa è stato testato, incluse le versioni specifiche del software o i commit del codice, ed elenca esplicitamente cosa è stato escluso dall’analisi. La lettura di questa sezione indica ciò che l’audit può o non può rivelare.
• La metodologia di test: documenta l’approccio dei test e le tecniche utilizzate, solitamente suddivisi per area del software valutato. Questa sezione include anche le aree esaminate in cui non si sono riscontrati problemi.
• Il glossario dei livelli di gravità: definisce il sistema di classificazione usato per le valutazioni dei riscontri. Ogni livello di rating ha un significato definito, che il revisore applica in modo coerente a tutti i riscontri.
• Le vulnerabilità identificate: elenca ogni problema di sicurezza rilevato, con un identificatore univoco, la classificazione di gravità, una descrizione tecnica, una proof-of-concept (ove applicabile), nonché una nota di correzione per confermare se il problema sia stato affrontato e risolto.
• Problemi vari: indica debolezze che non costituiscono vulnerabilità sfruttabili ma che potrebbero favorire gli aggressori o comunque costituire aree di miglioramento.
• La conclusione del revisore: una dichiarazione conclusiva che riassume la valutazione complessiva del revisore. Tali conclusioni vengono redatte dalla società di audit, non da ExpressVPN, e riflettono il punto di vista indipendente del revisore.

Incarichi di assurance

Questi report non elencano vulnerabilità e non utilizzano classificazioni di gravità. Qui il revisore esamina i controlli tecnici e i processi interni di ExpressVPN rispetto a criteri definiti, emettendo poi formalmente un parere riguardo al fatto che tali controlli funzionino o meno come descritto. La conclusione da cercare è se il revisore abbia fornito assurance e se siano state segnalate eccezioni.

Ti serve aiuto? Contatta il team di supporto ExpressVPN per ricevere assistenza immediata.

Volver arriba

Accedere ai report di audit di ExpressVPN

Ogni report, inclusi eventuali problemi riscontrati, viene pubblicato per intero, così come consegnato dal revisore. Tutti i report pubblicati sono disponibili per la consultazione integrale alla pagina expressvpn.com/trust.

Ti serve aiuto? Contatta il team di supporto ExpressVPN per ricevere assistenza immediata.

Volver arriba