En förklaring av ExpressVPN:s oberoende granskningar

Den här artikeln förklarar hur ExpressVPN:s säkerhet testas av oberoende externa företag, vad dessa granskningar omfattar och hur du själv kan läsa rapporterna.

Hur ExpressVPN granskas av oberoende part

ExpressVPN har beställt oberoende granskningar sedan 2018 och fortsätter att göra det regelbundet i takt med att produkterna utvecklas. Dessa granskningar utförs av externa säkerhetsföretag, som får tillgång till källkod, intern infrastruktur och dokumentation som är relevant för det som utvärderas. Deras roll är att testa om ExpressVPNs system och programvara fungerar som beskrivet och att identifiera eventuella sårbarheter eller problem.

Varje revisionsbyrå utför sitt arbete oberoende och följer sin egen metod och sina egna standarder. ExpressVPN påverkar inte revisorernas resultat eller slutsatser.

När problem upptäcks redovisas de i den publicerade rapporten. Revisorer kan också utföra nya tester för att verifiera att problemen har åtgärdats. Att hitta problem i en säkerhetsgranskning är en normal del av processen: det är vad oberoende tester är utformade för att göra.

Varje granskning återspeglar tillståndet för ExpressVPN:s system vid testtillfället, vilket är anledningen till att granskningarna beställs regelbundet snarare än som en engångsföreteelse.

Behöver du hjälp? Kontakta ExpressVPN:s supportteam för omedelbar hjälp.

Tillbaka till toppen

Vad ExpressVPN:s granskningar omfattar

Granskningar beställs för olika delar av ExpressVPN:s produkter och infrastruktur. De områden som har utvärderats inkluderar:

• Lightway-protokollet: ExpressVPN:s eget VPN-protokoll som togs fram internt och med öppen källkod, som styr hur enheter ansluter till VPN-servrar.
• TrustedServer: ExpressVPNs serverteknik, som körs helt på RAM så att all data raderas varje gång en server startas om.
• VPN-appar för datorer och mobiler: ExpressVPN-applikationerna för Windows, macOS, Linux, iOS och Android.
• Webbläsartillägg: ExpressVPN-tillägget för Chrome och Firefox och lösenordshanteringstillägget för ExpressKeys.
• Ytterligare tjänster: ExpressAI, ExpressVPN:s integritetsfokuserade AI-plattform; ExpressMailGuard, vår säkra e-postrelätjänst; och Identity Defender, vår uppsättning identitetsskyddstjänster (endast USA). En granskning pågår också för lösenordshanteraren ExpressKeys.
• Aircove-routrar: ExpressVPN:s routerhårdvara, som kör vår VPN på nätverksnivå snarare än på enskilda enheter.
• Policyn mot loggar och integritetslöften: Huruvida ExpressVPN:s tekniska infrastruktur och interna processer överensstämmer med vad som står i integritetspolicyn. Du kan läsa mer om ExpressVPN:s policy att inte spara loggar här.
• Verifieringssystemet för nya versioner: Den process som säkerställer att programvara som levereras till användare matchar källkoden och skyddar mot manipulation under distribution.

Behöver du hjälp? Kontakta ExpressVPN:s supportteam för omedelbar hjälp.

Tillbaka till toppen

Vilka det är som utför ExpressVPN:s granskningar

ExpressVPN har arbetat med ett antal etablerade, oberoende cybersäkerhetsbolag och professionella tjänsteföretag inom sitt revisionsprogram, inklusive:

• Cure53: Ett tyskt cybersäkerhetsföretag specialiserat på penetrationstester och säkerhetsgranskningar.
• KPMG: Ett av världens största professionella tjänsteföretag som tillhandahåller revisionstjänster enligt internationellt erkända standarder.
• PwC Schweiz: Den schweiziska avdelningen för ett av världens största professionella tjänsteföretag, som tillhandahåller revisionstjänster.
• F-Secure: Ett finskt cybersäkerhetsföretag med lång erfarenhet av sårbarhetsforskning och säkerhetstestning.
• Praetorian: Ett amerikanskt cybersäkerhetsföretag som specialiserar sig på offensiv säkerhet och tekniska riskbedömningar.

Behöver du hjälp? Kontakta ExpressVPN:s supportteam för omedelbar hjälp.

Tillbaka till toppen

Hur man läser en ExpressVPN-granskningsrapport

Alla granskningsrapporter följer inte samma struktur. Det finns två huvudtyper i ExpressVPN:s revisionsprogram, och formatet du ser beror på vad som bedömdes:

Penetrationstester och källkodsgranskningar

Denna typ av granskningsrapport innehåller vanligtvis:

• Omfattning: Definierar exakt vad som testades, inklusive specifika programvaruversioner eller kod-commits, och listar explicit vad som låg utanför omfattningen. Genom att läsa omfattningen får du veta vad granskningen kan och inte kan behandla.
• Testmetodik: Dokumenterar testmetoden och teknikerna som använts, vanligtvis uppdelat efter område av programvaran som utvärderas. Detta inkluderar områden som undersöktes även där inga problem hittades.
• Ordlista för allvarlighetsgrad: Definierar det bedömningssystem som används för att klassificera resultaten. Varje bedömning har en definierad betydelse som granskaren tillämpar konsekvent för alla resultat.
• Identifierade sårbarheter: Listar varje säkerhetsproblem som hittats, med en unik identifierare, allvarlighetsgrad, teknisk beskrivning, koncepttest där så är tillämpligt och åtgärdsinformation som bekräftar om problemet har åtgärdats och verifierats.
• Diverse problem: Täcker svagheter som inte utgör aktiva sårbarheter men som kan hjälpa en angripare eller representera förbättringsområden.
• Granskarens slutsats: Ett avslutande uttalande som sammanfattar granskarens övergripande bedömning. Dessa slutsatser är skrivna av granskningsbolaget, inte ExpressVPN, och återspeglar granskarens oberoende syn.

Bestyrkandeuppdrag

Dessa rapporter listar inte sårbarheter och använder inte allvarlighetsgrader. Istället granskar de ExpressVPN:s tekniska kontroller och interna processer mot definierade kriterier och avger ett formellt utlåtande om huruvida dessa kontroller fungerar som beskrivna. Slutsatsen att leta efter är om granskaren har lämnat garantier och om några undantag noterades.

Behöver du hjälp? Kontakta ExpressVPN:s supportteam för omedelbar hjälp.

Tillbaka till toppen

Få tillgång till ExpressVPN:s granskningsrapporter

Varje rapport, inklusive eventuella upptäckta problem, publiceras i sin helhet så som den levererats av granskaren. Alla publicerade rapporter finns att läsa i sin helhet på expressvpn.com/trust.

Behöver du hjälp? Kontakta ExpressVPN:s supportteam för omedelbar hjälp.

Tillbaka till toppen