Forstå ExpressVPNs uavhengige revisjoner

Denne artikkelen forklarer hvordan ExpressVPNs sikkerhet testes av uavhengige, eksterne selskaper, hva disse revisjonene omfatter og hvordan du leser rapportene.

Hvordan ExpressVPN revideres uavhengig

ExpressVPN har bestilt uavhengige revisjoner siden 2018, og fortsetter å gjøre det jevnlig etter hvert som produktene utvikles. Disse revisjonene utføres av eksterne sikkerhetsselskaper som får tilgang til kildekode, intern infrastruktur og dokumentasjon som er relevant for det som vurderes. Deres oppgave er å teste om ExpressVPNs systemer og programvare fungerer som beskrevet, og å identifisere eventuelle sårbarheter eller problemer.

Hvert revisjonsselskap gjennomfører arbeidet uavhengig og følger sine egne metoder og standarder. ExpressVPN påvirker ikke revisjonsselskapenes funn eller konklusjoner.

Når det blir avdekket problemer, beskrives det i den publiserte rapporten. Revisorene kan også gjennomføre nye tester for å bekrefte at problemene er løst. Under en sikkerhetsrevisjon er det normalt å finne problemer, og det er nettopp dette uavhengig testing er ment å avdekke.

Hver revisjon gjenspeiler tilstanden til ExpressVPNs systemer på tidspunktet testingen ble utført. Det er nettopp derfor revisjoner gjennomføres regelmessig, og ikke bare som en engangsøvelse.

Trenger du hjelp? Kontakt ExpressVPNs kundestøtte for å få hjelp.

Tilbake til toppen

Hva ExpressVPNs revisjoner dekker

Revisjoner gjennomføres på ulike deler av ExpressVPNs produkter og infrastruktur. Følgende områder har blitt vurdert:

• Lightway-protokollen: ExpressVPNs egen VPN-protokoll, som er utviklet internt og gjort tilgjengelig som åpen kildekode. Den styrer hvordan enheter kobler seg til VPN-servere.
• TrustedServer: ExpressVPNs serverteknologi, som kjører utelukkende på RAM slik at alle data slettes hver gang en server startes på nytt.
• VPN-apper for datamaskin og mobil: ExpressVPN-appene for Windows, macOS, Linux, iOS og Android.
• Nettleserutvidelser: ExpressVPN-utvidelsene for Chrome og Firefox, samt utvidelsen for passordadministratoren ExpressKeys.
• Tilleggstjenester: ExpressAI, ExpressVPNs personvernfokuserte AI-plattform; ExpressMailGuard, vår sikre tjeneste for e-postvideresending; og Identity Defender, vår pakke med tjenester for identitetsbeskyttelse (kun USA). Det pågår også en revisjon av passordadministratoren ExpressKeys.
• Aircove-rutere: ExpressVPNs rutermaskinvare, som kjører VPN-et på nettverksnivå i stedet for på individuelle enheter.
• Personvernløftene og retningslinjene mot loggføring: Hvorvidt ExpressVPNs tekniske infrastruktur og interne prosesser er i samsvar med det som beskrives i personvernerklæringen. Du kan lese mer om ExpressVPNs retningslinjer mot loggføring her.
• Systemet for byggverifisering: Prosessen som sikrer at programvaren som leveres til brukerne samsvarer med kildekoden, og beskytter mot manipulering under distribusjon.

Trenger du hjelp? Kontakt ExpressVPNs kundestøtte for å få hjelp.

Tilbake til toppen

Hvem utfører ExpressVPNs revisjoner

ExpressVPN har samarbeidet med flere etablerte og uavhengige selskaper innen cybersikkerhet og revisjon, blant annet:

• Cure53: Et tysk cybersikkerhetsselskap som spesialiserer seg på penetrasjonstesting og sikkerhetsrevisjoner.
• KPMG: Et av verdens største revisjons- og rådgivningsselskaper, som utfører revisjon og kvalitetssikring i henhold til internasjonalt anerkjente standarder.
• PwC Switzerland: Den sveitsiske virksomheten til en av verdens største revisjons- og rådgivningsselskaper, som utfører revisjon og kvalitetssikring.
• F-Secure: Et finsk cybersikkerhetsselskap med lang erfaring innen sårbarhetsforskning og sikkerhetstesting.
• Praetorian: Et amerikansk cybersikkerhetsselskap som spesialiserer seg på offensiv sikkerhet og teknisk risikovurdering.

Trenger du hjelp? Kontakt ExpressVPNs kundestøtte for å få hjelp.

Tilbake til toppen

Hvordan lese en revisjonsrapport fra ExpressVPN

Ikke alle revisjonsrapporter følger samme struktur. Det er to hovedtyper av revisjoner i ExpressVPNs revisjonsprogram, og formatet varierer avhengig av hva som er vurdert.

Penetrasjonstester og revisjoner av kildekode

Denne typen rapport inneholder vanligvis:

• Omfang: Definerer hva som ble testet, inkludert spesifikke programvareversjoner eller kodeendringer, og lister opp hva som ikke er omfattet. Omfanget forteller hva revisjonen kan og ikke kan si noe om.
• Testmetode: Beskriver testtilnærmingen og teknikkene som ble brukt, vanligvis delt inn etter hvilke deler av programvaren som ble vurdert. Dette inkluderer også områder som ble undersøkt uten at det ble funnet problemer.
• Alvorlighetsgrader: Definerer klassifiseringssystemet som brukes for funnene. Hver alvorlighetsgrad har en definert betydning som revisorene bruker.
• Identifiserte sårbarheter: Lister opp hvert sikkerhetsproblem som ble funnet med en unik identifikator, alvorlighetsgrad, teknisk beskrivelse, eventuelle konseptbevis og en merknad om hvorvidt problemet ble løst og verifisert.
• Øvrige funn: Omfatter svakheter som ikke utgjør direkte utnyttbare sårbarheter, men som kan hjelpe en angriper eller representere forbedringsområder.
• Revisorenes konklusjon: En oppsummering av revisorenes samlede vurdering. Disse konklusjonene skrives av revisjonsselskapet, ikke av ExpressVPN, og gjenspeiler deres uavhengige vurdering.

Bekreftelsesoppdrag

Disse rapportene inneholder ikke lister over sårbarheter eller alvorlighetsgrader. Revisorene vurderer i stedet ExpressVPNs tekniske kontroller og interne prosesser opp mot definerte kriterier, og avgir en formell uttalelse om hvorvidt kontrollene fungerer slik de er beskrevet. Det viktigste å se etter i konklusjonen er om revisorene har gitt en positiv bekreftelse på kontrollene, og om det ble rapportert noen avvik.

Trenger du hjelp? Kontakt ExpressVPNs kundestøtte for å få hjelp.

Tilbake til toppen

Få tilgang til ExpressVPNs revisjonsrapporter

Hver rapport publiseres i sin helhet slik den ble levert av revisjonsselskapet, inkludert eventuelle problemer som ble identifisert. Alle publiserte rapporter er tilgjengelige i sin helhet på expressvpn.com/trust.

Trenger du hjelp? Kontakt ExpressVPNs kundestøtte for å få hjelp.

Tilbake til toppen