Zrozumienie niezależnych audytów ExpressVPN

W tym artykule wyjaśniono, w jaki sposób bezpieczeństwo ExpressVPN jest niezależnie testowane przez zewnętrzne firmy, co obejmują te audyty oraz jak samodzielnie zapoznać się z raportami.

Jak przebiega niezależny audyt ExpressVPN

ExpressVPN zleca niezależne audyty od 2018 roku i nadal robi to regularnie, w miarę ewolucji produktów. Audyty te są przeprowadzane przez zewnętrzne firmy zajmujące się bezpieczeństwem, które otrzymują dostęp do kodu źródłowego, infrastruktury wewnętrznej i dokumentacji związanej z tym, co jest oceniane. Ich zadaniem jest sprawdzenie, czy systemy i oprogramowanie ExpressVPN działają zgodnie z opisem, oraz wykrycie ewentualnych luk w zabezpieczeniach lub problemów.

Każda firma audytorska prowadzi swoją pracę niezależnie, zgodnie z własną metodologią i standardami. ExpressVPN nie wpływa na ustalenia ani wnioski audytorów.

W przypadku stwierdzenia problemów są one ujawniane w opublikowanym raporcie. Audytorzy mogą również przeprowadzić ponowne testy w celu sprawdzenia, czy problemy zostały rozwiązane. Znalezienie problemów w audycie bezpieczeństwa jest normalną częścią procesu: do tego służą niezależne testy.

Każdy audyt odzwierciedla stan systemów ExpressVPN w momencie testowania, dlatego audyty są zlecane regularnie, a nie jako jednorazowe ćwiczenie.

Potrzebujesz pomocy? Skontaktuj się z zespołem pomocy ExpressVPN, aby uzyskać natychmiastową pomoc.

Powrót do góry

Co obejmują audyty ExpressVPN

Audyty są zlecane w różnych częściach produktu i infrastruktury ExpressVPN. Obszary, które zostały poddane ocenie to:

• Protokół Lightway: własny protokół VPN firmy ExpressVPN, opracowany wewnętrznie i udostępniony na licencji open source, który reguluje sposób łączenia się urządzeń z serwerami VPN.
• TrustedServer: technologia serwerowa ExpressVPN, która działa w całości w pamięci RAM, dzięki czemu wszystkie dane są usuwane przy każdym ponownym uruchomieniu serwera.
• Aplikacje VPN na komputery stacjonarne i urządzenia mobilne: aplikacje ExpressVPN dla systemów Windows, macOS, Linux, iOS i Android.
• Rozszerzenia przeglądarki: Rozszerzenie ExpressVPN dla Chrome i Firefox oraz rozszerzenie menedżera haseł ExpressKeys.
• Dodatkowe usługi: ExpressAI, platforma AI firmy ExpressVPN stawiająca na pierwszym miejscu prywatność; ExpressMailGuard, nasza usługa bezpiecznego przekazywania wiadomości e-mail; oraz Identity Defender, nasz pakiet usług ochrony tożsamości (tylko w Stanach Zjednoczonych). Trwa również audyt ExpressKeys (menedżera haseł).
• Routery Aircove: Hardware routera ExpressVPN, który uruchamia VPN na poziomie sieci, a nie na poszczególnych urządzeniach.
• Polityka braku logów i zobowiązania dotyczące prywatności: czy infrastruktura techniczna ExpressVPN i procesy wewnętrzne są zgodne z tym, co stanowi polityka prywatności. Możesz tutaj przeczytać więcej o polityce braku logów ExpressVPN.
• System weryfikacji kompilacji: proces zapewniający zgodność oprogramowania dostarczanego użytkownikom z kodem źródłowym, chroniący przed manipulacją podczas dystrybucji.

Potrzebujesz pomocy? Skontaktuj się z zespołem pomocy ExpressVPN, aby uzyskać natychmiastową pomoc.

Powrót do góry

Kto przeprowadza audyty ExpressVPN

ExpressVPN współpracował z wieloma uznanymi, niezależnymi firmami zajmującymi się cyberbezpieczeństwem i profesjonalnymi usługami w ramach swojego programu audytu, w tym:

• Cure53: Niemiecka firma zajmująca się cyberbezpieczeństwem, specjalizująca się w testach penetracyjnych i audytach bezpieczeństwa.
• KPMG: Jedna z największych na świecie profesjonalnych firm usługowych, świadcząca usługi audytorskie i atestacyjne zgodnie z uznanymi międzynarodowymi standardami.
• PwC Szwajcaria: szwajcarski oddział jednej z największych na świecie firm świadczących usługi profesjonalne, oferujący usługi w zakresie audytu i weryfikacji sprawozdań finansowych.
• F-Secure: Fińska firma zajmująca się cyberbezpieczeństwem z długim doświadczeniem w badaniach nad lukami w zabezpieczeniach i testach bezpieczeństwa.
• Pretorian: firma zajmująca się cyberbezpieczeństwem z siedzibą w USA, specjalizująca się w ocenie bezpieczeństwa ofensywnego i ryzyka technicznego.

Potrzebujesz pomocy? Skontaktuj się z zespołem pomocy ExpressVPN, aby uzyskać natychmiastową pomoc.

Powrót do góry

Jak zapoznać się z raportem z audytu ExpressVPN

Nie wszystkie raporty z audytu mają tę samą strukturę. W programie audytu ExpressVPN istnieją dwa główne typy, a format, który widzisz, będzie zależeć od tego, co było oceniane:

Badania penetracyjne i audyty kodów źródłowych

Ten rodzaj raportu z audytu zazwyczaj obejmuje:

• Zakres: określa dokładnie, co zostało przetestowane, w tym konkretne wersje oprogramowania lub zmiany w kodzie, oraz wyraźnie wymienia elementy, które nie zostały uwzględnione w zakresie. Zapoznanie się z zakresem pozwala ustalić, na jakie kwestie audyt może się odnosić, a na jakie nie.
• Metodologia testowania: Opisuje podejście do testowania oraz zastosowane techniki, zazwyczaj w podziale na poszczególne obszary ocenianego oprogramowania. Obejmuje to obszary, które zostały zbadane, nawet jeśli nie stwierdzono żadnych problemów.
• Słowniczek ważności: definiuje system oceny używany do klasyfikacji wyników. Każda ocena ma zdefiniowane znaczenie, które audytor stosuje spójnie w odniesieniu do wszystkich ustaleń.
• Zidentyfikowane luki w zabezpieczeniach: zawiera wykaz wszystkich wykrytych problemów związanych z bezpieczeństwem wraz z unikalnym identyfikatorem, oceną poziomu zagrożenia, opisem technicznym, ewentualnym dowodem słuszności koncepcji oraz informacją o naprawie potwierdzającą, czy problem został usunięty i zweryfikowany.
• Różne kwestie: obejmują one niedoskonałości, które nie stanowią luk umożliwiających atak, ale mogą ułatwić działanie atakującemu lub wskazują obszary wymagające poprawy.
• Wniosek biegłego rewidenta: oświadczenie podsumowujące ogólną ocenę biegłego rewidenta. Wnioski te są sporządzane przez firmę audytorską, a nie ExpressVPN, i odzwierciedlają niezależny pogląd audytora.

Zobowiązania gwarancyjne

W raportach tych nie wymieniono luk w zabezpieczeniach ani nie zastosowano skali oceny ryzyka. Zamiast tego audytor analizuje kontrole techniczne i procesy wewnętrzne ExpressVPN pod kątem zdefiniowanych kryteriów i wydaje formalną opinię na temat tego, czy te kontrole działają zgodnie z opisem. Należy sprawdzić, czy audytor wydał poświadczenie oraz czy odnotowano jakieś zastrzeżenia.

Potrzebujesz pomocy? Skontaktuj się z zespołem pomocy ExpressVPN, aby uzyskać natychmiastową pomoc.

Powrót do góry

Zobacz raporty z audytu ExpressVPN

Każdy raport, w tym wszelkie stwierdzone problemy, jest publikowany w pełnej formie dostarczonej przez audytora. Wszystkie opublikowane raporty są dostępne do przeczytania w całości na stronie expressvpn.com/trust.

Potrzebujesz pomocy? Skontaktuj się z zespołem pomocy ExpressVPN, aby uzyskać natychmiastową pomoc.

Powrót do góry