Entendendo as auditorias independentes da ExpressVPN

Este artigo explica como a segurança da ExpressVPN é testada de forma independente por empresas externas, o que essas auditorias abrangem e como você pode interpretar os relatórios.

Como a ExpressVPN é auditada de forma independente

A ExpressVPN encomenda auditorias independentes desde 2018 e continua a fazê-lo regularmente à medida que os produtos evoluem. Essas auditorias são realizadas por empresas de segurança externas, as quais têm acesso ao código-fonte, à infraestrutura interna e à documentação relevante para a avaliação. O papel dessas empresas é testar se os sistemas e o software da ExpressVPN funcionam conforme descrito e identificar quaisquer vulnerabilidades ou problemas.

Cada empresa de auditoria realiza seu trabalho de forma independente, seguindo sua própria metodologia e padrões. A ExpressVPN não influencia as conclusões ou os resultados das auditorias.

Quando problemas são encontrados, eles são divulgados no relatório publicado. Os auditores também podem realizar novos testes para verificar se os problemas foram resolvidos. Encontrar problemas em uma auditoria de segurança é uma parte normal do processo — esse é o exato objetivo pelo qual os testes independentes foram projetados.

Cada auditoria reflete o estado dos sistemas da ExpressVPN no momento do teste, razão pela qual as auditorias são encomendadas periodicamente, em vez de ser realizadas apenas uma vez.

Precisa de ajuda? Contate a equipe de suporte da ExpressVPN para obter assistência imediata.

Voltar ao topo

O que as auditorias da ExpressVPN abrangem

Auditorias são encomendadas em diferentes partes do produto e da infraestrutura da ExpressVPN. As áreas que foram avaliadas incluem:

• Protocolo Lightway: o protocolo VPN próprio da ExpressVPN, desenvolvido internamente e de código aberto, controla como os dispositivos se conectam aos servidores VPN.
• TrustedServer: a tecnologia de servidor da ExpressVPN funciona inteiramente com memória RAM, de forma que todos os dados são apagados sempre que um servidor é reiniciado.
• Aplicativos VPN para computador e dispositivos móveis: os aplicativos ExpressVPN para Windows, macOS, Linux, iOS e Android.
• Extensões de navegador: a extensão ExpressVPN para Chrome e Firefox e a extensão do gerenciador de senhas ExpressKeys.
• Serviços adicionais: ExpressAI, a plataforma de IA da ExpressVPN focada em privacidade; ExpressMailGuard, nosso serviço seguro de retransmissão de e-mails; e Identity Defender, nosso conjunto de serviços de proteção de identidade (somente nos EUA). Uma auditoria também está em andamento para o ExpressKeys (gerenciador de senhas).
• Roteadores Aircove: hardware do roteador da ExpressVPN, que executa a VPN no nível da rede, e não em dispositivos individuais.
• Política de não registro e compromissos de privacidade: verificam se a infraestrutura técnica e os processos internos da ExpressVPN são consistentes com o que a política de privacidade declara. Você pode ler mais sobre a política de não registro da ExpressVPN aqui.
• Sistema de verificação de compilação: o processo que garante que o software disponibilizado aos usuários corresponda ao código-fonte, protegendo contra adulterações durante a distribuição.

Precisa de ajuda? Contate a equipe de suporte da ExpressVPN para obter assistência imediata.

Voltar ao topo

Quem realiza as auditorias da ExpressVPN

A ExpressVPN trabalhou com diversas empresas consolidadas e independentes de cibersegurança e serviços profissionais em seu programa de auditoria, incluindo:

• Cure53: empresa alemã de cibersegurança especializada em testes de penetração e auditorias de segurança.
• KPMG: uma das maiores empresas de serviços profissionais do mundo, oferece serviços de auditoria e garantia de acordo com padrões internacionalmente reconhecidos.
• PwC Suíça: filial suíça de uma das maiores empresas de serviços profissionais do mundo, oferece serviços de auditoria e garantia.
• F-Secure: empresa finlandesa de cibersegurança com longa trajetória em pesquisa de vulnerabilidades e testes de segurança.
• Praetorian: empresa de cibersegurança com sede nos EUA, especializada em segurança ofensiva e avaliações de risco técnico.

Precisa de ajuda? Contate a equipe de suporte da ExpressVPN para obter assistência imediata.

Voltar ao topo

Como interpretar um relatório de auditoria da ExpressVPN

Nem todos os relatórios de auditoria seguem a mesma estrutura. Existem dois tipos principais no programa de auditoria da ExpressVPN, e o formato que você verá dependerá do que foi avaliado:

Testes de penetração e auditorias de código-fonte

Este tipo de relatório de auditoria normalmente inclui o seguinte:

• Escopo: define exatamente o que foi testado, incluindo versões específicas de software ou commits de código, e lista explicitamente o que estava fora do escopo. A leitura do escopo informa sobre o que a auditoria pode e não pode se referir.
• Metodologia de teste: documenta a abordagem e as técnicas de teste utilizadas, geralmente divididas por área do software avaliada. Inclui áreas que foram examinadas mesmo quando nenhum problema foi encontrado.
• Glossário de gravidade: define o sistema de classificação utilizado para classificar as constatações. Cada classificação tem um significado definido, que o auditor aplica de forma consistente a todas as constatações.
• Vulnerabilidades identificadas: lista cada problema de segurança encontrado, com um identificador único, classificação de gravidade, descrição técnica, prova de conceito (quando aplicável) e uma nota de correção confirmando se o problema foi resolvido e verificado.
• Problemas diversos: abrange fragilidades que não constituem vulnerabilidades exploráveis, mas que poderiam auxiliar um atacante ou representar áreas para melhoria.
• Conclusão do auditor: declaração conclusiva que resume a avaliação geral do auditor. Essas conclusões são redigidas pela empresa de auditoria, não pela ExpressVPN, e refletem a opinião independente do auditor.

Trabalhos de asseguração

Esses relatórios não listam vulnerabilidades nem usam classificações de gravidade. Em vez disso, o auditor revisa os controles técnicos e os processos internos da ExpressVPN com base em critérios definidos e emite uma opinião formal sobre se esses controles funcionam conforme descrito. A conclusão a ser observada é se o auditor forneceu garantia e se alguma exceção foi registrada.

Precisa de ajuda? Contate a equipe de suporte da ExpressVPN para obter assistência imediata.

Voltar ao topo

Acessar os relatórios de auditoria da ExpressVPN

Cada relatório, incluindo quaisquer problemas encontrados, é publicado na íntegra conforme entregue pelo auditor. Todos os relatórios publicados estão disponíveis para leitura completa no endereço expressvpn.com/trust.

Precisa de ajuda? Contate a equipe de suporte da ExpressVPN para obter assistência imediata.

Voltar ao topo