Подробнее про независимые проверки ExpressVPN

В этой статье мы расскажем, как независимые фирмы проверяют уровень безопасности ExpressVPN, на что они обращают внимание и как составляют отчеты.

Как ExpressVPN проходит независимые проверки

ExpressVPN проходит независимые проверки с 2018 года и продолжает регулярно делать это по мере развития продуктов. Эти проверки осуществляются независимыми компаниями, специализирующимися на вопросах кибербезопасности. Эти компании получают доступ к исходному коду, внутренней инфраструктуре и документации, имеющей отношение к предмету проверки. Их задача — проверить, работают ли системы и программное обеспечение ExpressVPN в соответствии с описанием, а также выявить любые уязвимости или проблемы.

Каждая аудиторская компания ведет свою работу независимо и рамках собственной методологии и стандартов. ExpressVPN не влияет на выводы или заключения аудиторов.

Выявленные проблемы указываются в публикуемом отчете. Аудиторы также могут провести повторные проверки, чтобы убедиться, что проблемы устранены. Обнаружение проблем в ходе аудита безопасности является нормальной частью процесса: именно для этого и предназначены независимые проверки.

Каждая проверка отражает состояние систем ExpressVPN на момент тестирования, поэтому мы обращаемся к независимым экспертам за проведением аудитов регулярно, а не в качестве разовой меры.

Нужна помощь? Обратитесь в службу поддержки ExpressVPN.

Наверх

На что обращают внимание при проверке ExpressVPN

Проверкам подвергаются различные части продуктов и инфраструктуры ExpressVPN, в частности:

• Протокол Lightway — собственная разработка ExpressVPN, созданная нашей штатной командой и имеющая открытый код. Этот протокол управляет подключением устройств к VPN-серверам.
• TrustedServer — серверная технология ExpressVPN, благодаря которой наши серверы работают на базе ОЗУ и полностью удаляют из своей памяти все данные при каждой перезагрузке.
• Настольные и мобильные VPN-приложения — приложения ExpressVPN для Windows, macOS, Linux, iOS и Android.
• Браузерные расширения — расширения ExpressVPN для Chrome и Firefox, а также расширение ExpressKeys (менеджер паролей).
• Дополнительные сервисы: ExpressAI, платформа ExpressVPN для конфиденциальной работы с ИИ; ExpressMailGuard, наш безопасный почтовый релей-сервис; а также Identity Defender, наш набор инструментов для защиты персональных данных (доступен только для жителей США). В настоящий момент выполняется проверка ExpressKeys (менеджера паролей).
• Роутеры Aircove — фирменные роутеры ExpressVPN, обеспечивающие VPN-защиту на уровне локальной сети, а не отдельных устройств.
• Политика отсутствия журналов и заявления об уровне конфиденциальности — проверки оценивают, отвечают ли техническая инфраструктура и внутренние процессы ExpressVPN положениям, заявленным в политике конфиденциальности. Узнать больше о политике отсутствия журналов ExpressVPN можно здесь.
• Система проверки сборки приложения — процесс, гарантирующий, что ПО загружает на пользовательские устройства открытый код, не подвергавшийся сторонним изменениям.

Нужна помощь? Обратитесь в службу поддержки ExpressVPN.

Наверх

Кто проводит проверки ExpressVPN

ExpressVPN работает с различными независимыми и авторитетными компаниями из сферы киберзащиты:

• Cure53: немецкая компания, специализирующаяся на пенетрационном тестировании и аудитах безопасности.
• KPMG: одна из крупнейших компаний, оказывающих услуги аудита по международно признанным стандартам.
• PwC Switzerland: швейцарское отделение одной из крупнейших мировых компаний, оказывающих услуги аудита.
• F-Secure: финская компания с внушительной репутацией в сфере поиска уязвимостей и аудитов безопасности.
• Praetorian: американская компания, специализирующаяся на проверке систем защиты и оценке технических рисков.

Нужна помощь? Обратитесь в службу поддержки ExpressVPN.

Наверх

Как читать отчеты о проверках ExpressVPN

Все отчеты разные. Программа проверок ExpressVPN включает в себя два основных типа отчетов. Формат документа зависит от цели проверки:

Пенетрационные тестирования и проверки исходного кода

Как правило, в таких отчетах можно найти следующие разделы:

• Цель: что именно было проверено, включая конкретные версии ПО или ревизии кода, а также прямое указание на всё, что не относится в цели тестирования. Этот раздел позволяет понять, на какие аспекты может распространяться аудит, а на какие — нет.
• Методология тестирования: описание подхода к тестированию и использованных методов, как правило, с разбивкой по разделам тестируемого ПО. Здесь же указываются проверенные разделы, в которых не было выявлено никаких проблем.
• Уровень серьезности: система, используемая для классификации выявленных проблем. Каждый уровень имеет чётко определенное значение, которое аудитор последовательно применяет ко всем выявленным проблемам.
• Выявленные уязвимости: все обнаруженные уязвимости с указанием уникального идентификатора, уровня серьезности, технического описания, доказательства концепции (если применимо) и примечания об исправлении, подтверждающего, была ли уязвимость устранена и проверена.
• Прочие проблемы: недостатки, которые не являются уязвимостями, которыми можно воспользоваться самими по себе, но которые могут при этом помочь злоумышленнику или указывать на области, требующие доработки.
• Заключение аудитора: общая оценка аудитора или аудиторской фирмы, отражающая независимое мнение эксперта (а не а не ExpressVPN).

Аудиторские задания

В этих отчетах не приводится список уязвимостей, также в нет шкалы оценки серьезности. Вместо этого аудитор проверяет технические меры контроля и внутренние процессы ExpressVPN на соответствие установленным критериям и выносит официальное заключение о том, работают ли заявленные меры в соответствии с описанием. Основное внимание следует обратить на то, предоставил ли аудитор подтверждение и были ли отмечены какие-либо исключения.

Нужна помощь? Обратитесь в службу поддержки ExpressVPN.

Наверх

Доступ к отчетам о проверках ExpressVPN

Все отчеты со всеми подробностями публикуются ровно в том виде, в каком были переданы аудиторами. Все опубликованные отчеты полностью доступны по адресу expressvpn.com/trust.

Нужна помощь? Обратитесь в службу поддержки ExpressVPN.

Наверх