Forklaring af ExpressVPN’s uafhængige revisioner

Denne artikel forklarer, hvordan ExpressVPN’s sikkerhed testes uafhængigt af eksterne firmaer, hvad disse revisioner dækker, og hvordan du selv kan læse rapporterne.

Sådan revideres ExpressVPN uafhængigt

ExpressVPN har bestilt uafhængige revisioner siden 2018 og fortsætter med at gøre det regelmæssigt, efterhånden som produkterne udvikler sig. Disse revisioner udføres af eksterne sikkerhedsfirmaer, som får adgang til kildekode, intern infrastruktur og dokumentation, der er relevant for det, der vurderes. Deres rolle er at teste, om ExpressVPN’s systemer og software fungerer som beskrevet, og at identificere eventuelle sårbarheder eller problemer.

Hvert revisionsfirma udfører sit arbejde uafhængigt i henhold til sin egen metode og sine egne standarder. ExpressVPN påvirker ikke revisorernes resultater eller konklusioner.

Når der findes problemer, oplyses de i den offentliggjorte rapport. Revisorerne kan også foretage gentest for at tjekke, at problemerne er blevet løst. At finde problemer i en sikkerhedsrevision er en normal del af processen: Det er det, uafhængig testning er designet til at gøre.

Hver audit eller revision afspejler tilstanden af ExpressVPN’s systemer på tidspunktet for testen, og derfor bestilles revisioner regelmæssigt i stedet for som en engangsforanstaltning.

Brug for hjælp? Kontakt ExpressVPN’s supportteam for øjeblikkelig hjælp.

Tilbage til toppen

Det dækker ExpressVPN’s revisioner

Der bestilles revisioner på tværs af forskellige dele af ExpressVPN’s produkt og infrastruktur. De områder, der er blevet vurderet, omfatter:

• Lightway-protokollen: ExpressVPN’s egen VPN-protokol, der er udviklet internt og er open source, og som styrer, hvordan enheder opretter forbindelse til VPN-servere.
• TrustedServer: ExpressVPN’s serverteknologi, som udelukkende kører på RAM, så alle data slettes, hver gang en server genstartes.
• VPN-apps til computer og mobil: ExpressVPN-apps til Windows, macOS, Linux, iOS og Android.
• Browserudvidelser: ExpressVPN-udvidelsen til Chrome og Firefox og ExpressKeys-udvidelsen til adgangskodeadministrator.
• Yderligere tjenester: ExpressAI, ExpressVPN’s AI-platform, der prioriterer privatlivet højest, ExpressMailGuard, vores sikre e-mailvideresendelsestjeneste, og Identity Defender, vores pakke med identitetsbeskyttelsestjenester (kun i USA). Der er også en revision i gang af ExpressKeys (adgangskodeadministrator).
• Aircove-routere: ExpressVPN’s routerhardware, som kører VPN på netværksniveau i stedet for på individuelle enheder.
• Nul-logningspolitikken og databeskyttelsesforpligtelserne: Om ExpressVPN’s tekniske infrastruktur og interne processer er i overensstemmelse med det, der står i databeskyttelsespolitikken. Du kan her læse mere om ExpressVPN’s nul-logningspolitik.
• Systemet til verifikation af builds: Den proces, der sikrer, at software, der leveres til brugerne, matcher kildekoden, og som beskytter mod manipulation under distributionen.

Brug for hjælp? Kontakt ExpressVPN’s supportteam for øjeblikkelig hjælp.

Tilbage til toppen

Hvem, der udfører ExpressVPN’s revisioner

ExpressVPN har samarbejdet med en række etablerede, uafhængige cybersikkerhedsfirmaer og professionelle servicefirmaer i hele sit revisionsprogram, herunder:

• Cure53: En tysk cybersikkerhedsvirksomhed, der har specialiseret sig i penetrationstest og sikkerhedsrevisioner.
• KPMG: Et af verdens største firmaer inden for professionelle tjenester, der leverer revisions- og kontroltjenester i henhold til internationalt anerkendte standarder.
• PwC Switzerland: Den schweiziske afdeling af et af verdens største professionelle servicefirmaer, der leverer revisions- og kontroltjenester.
• F-Secure: Et finsk cybersikkerhedsfirma med en lang historik inden for sårbarhedsforskning og sikkerhedstest.
• Praetorian: En amerikansk cybersikkerhedsvirksomhed med speciale i offensiv sikkerhed og tekniske risikovurderinger.

Brug for hjælp? Kontakt ExpressVPN’s supportteam for øjeblikkelig hjælp.

Tilbage til toppen

Sådan læser du en ExpressVPN-revisionsrapport

Ikke alle revisionsrapporter har den samme struktur. Der er to hovedtyper i ExpressVPN’s revisionsprogram, og det format, du ser, afhænger af, hvad der blev vurderet:

Penetrationstests og kildekoderevisioner

Denne type kontrolrapport omfatter typisk:

• Anvendelsesområde: Definerer præcis, hvad der blev testet, herunder specifikke softwareversioner eller kodecommits, og angiver udtrykkeligt, hvad der lå uden for anvendelsesområdet. Ved at læse omfanget får du oplysninger om, hvad kontrollen kan og ikke kan omfatte.
• Testmetode: Dokumenterer den anvendte testmetode og de anvendte teknikker, normalt opdelt efter område i den software, der vurderes. Dette omfatter områder, der blev undersøgt, selvom der ikke blev fundet nogen problemer.
• Ordliste over alvorlighedsgrader: Definerer det vurderingssystem, der bruges til at klassificere resultater. Hver vurdering har en defineret betydning, som revisoren anvender konsekvent på tværs af alle resultater.
• Identificerede sårbarheder: Angiver hvert fundet sikkerhedsproblem med en unik identifikator, alvorsgrad, teknisk beskrivelse, proof-of-concept, hvor det er relevant, og en rettelsesnote, der bekræfter, om problemet blev behandlet og bekræftet.
• Diverse problemer: Omfatter svagheder, der ikke udgør sårbarheder, der kan udnyttes, men som kan hjælpe en angriber eller udgøre områder, hvor der kan ske forbedringer.
• Revisors konklusion: En afsluttende erklæring, der opsummerer revisors samlede vurdering. Disse konklusioner er skrevet af revisionsfirmaet, ikke ExpressVPN, og afspejler revisorens uafhængige synspunkt.

Erklæringsopgaver

Disse rapporter angiver ikke sårbarheder eller bruger alvorsgrader. I stedet gennemgår revisoren ExpressVPN’s tekniske kontroller og interne processer i forhold til definerede kriterier og afgiver en formel udtalelse om, hvorvidt disse kontroller fungerer som beskrevet. Den konklusion, man skal kigge efter, er, om revisoren har givet sikkerhed, og om der er konstateret nogen undtagelser.

Brug for hjælp? Kontakt ExpressVPN’s supportteam for øjeblikkelig hjælp.

Tilbage til toppen

Få adgang til ExpressVPN’s revisionsrapporter

Hver rapport, herunder eventuelle fundne problemer, offentliggøres i sin helhed, som den er leveret af revisoren. Alle offentliggjorte rapporter kan læses i deres fulde ordlyd på expressvpn.com/trust.

Brug for hjælp? Kontakt ExpressVPN’s supportteam for øjeblikkelig hjælp.

Tilbage til toppen