Mitä ovat ExpressVPN:n riippumattomat tarkastukset

Tässä artikkelissa kerrotaan, miten riippumattomat ulkopuoliset yritykset testaavat ExpressVPN:n tietoturvaa, mitä osa-alueita nämä tarkastukset kattavat ja miten voit lukea raportteja itse.

Miten ExpressVPN tarkastetaan riippumattomasti

ExpressVPN on teettänyt riippumattomia tarkastuksia vuodesta 2018 lähtien ja jatkaa niiden teettämistä säännöllisesti tuotteidensa kehittyessä. Tarkastukset ovat ulkopuolisten tietoturvayritysten suorittamia, ja niille annetaan laaja pääsy lähdekoodiin, sisäiseen infrastruktuuriin ja kaikkeen arvioitavaan kohteeseen liittyvään dokumentaatioon. Tarkastajien tehtävänä on testata, toimivatko ExpressVPN:n järjestelmät ja ohjelmistot kuvatulla tavalla, ja samalla tunnistaa mahdolliset haavoittuvuudet tai ongelmat.

Jokainen tarkastusyritys tekee työnsä itsenäisesti, omaa menetelmäänsä ja omia standardejaan noudattaen. ExpressVPN ei voi vaikuttaa tarkastajien havaintoihin tai johtopäätöksiin.

Kun ongelmia löytyy, ne julkistetaan tarkastuksen loppuraportissa. Tarkastajat voivat myös tehdä uusintatestejä varmistaakseen, että löydetyt ongelmat on korjattu. Ongelmien löytyminen tietoturvatarkastuksessa on täysin normaali osa prosessia – juuri sitä varten riippumaton testaus on olemassa.

Jokainen tarkastus kuvastaa ExpressVPN:n järjestelmien tilaa testaushetkellä, minkä vuoksi tarkastuksia teetetään säännöllisesti eikä vain kertaluonteisesti.

Tarvitsetko apua? Ota yhteyttä ExpressVPN:n asiakastukeen, niin vastaamme heti.

Takaisin ylös

Mitä ExpressVPN:n tarkastukset kattavat

Tarkastuksia teetetään ExpressVPN:n tuotteen ja infrastruktuurin eri osa-alueilla. Tarkastuksen kohteita ovat muun muassa:

• Lightway-protokolla: ExpressVPN:n itse kehittämä ja avoimeksi lähdekoodiksi julkaistu VPN-protokolla, joka määrittää, miten laitteet yhdistävät VPN-palvelimiin.
• TrustedServer: ExpressVPN:n palvelinteknologia, joka toimii kokonaan RAM-muistissa, jolloin kaikki tiedot pyyhitään aina palvelimen uudelleenkäynnistyksen yhteydessä.
• VPN-sovellukset tietokoneella ja mobiilissa: ExpressVPN-sovellukset Windowsille, macOS:lle, Linuxille, iOS:lle ja Androidille.
• Selainlaajennukset: ExpressVPN-laajennus Chromelle ja Firefoxille sekä ExpressKeys-salasanaohjelman laajennus.
• Lisäpalvelut: ExpressAI, ExpressVPN:n yksityisyyttä korostava tekoälyalusta; ExpressMailGuard, suojattu sähköpostin välityspalvelumme; sekä Identity Defender, henkilöllisyyden suojauspalvelujen kokonaisuutemme (vain Yhdysvalloissa). Myös ExpressKeysin (salasanaohjelma) tarkastus on parhaillaan käynnissä.
• Aircove-reitittimet: ExpressVPN:n reititinlaitteisto, joka ylläpitää VPN-yhteyttä verkkotasolla yksittäisten laitteiden sijaan.
• Nollatietokäytäntö ja yksityisyyslupaukset: Vastaavatko ExpressVPN:n tekninen infrastruktuuri ja sisäiset prosessit sitä, mitä tietosuojakäytännössä kerrotaan. Voit lukea lisää ExpressVPN:n nollatietokäytännöstä täältä.
• Koontiversioiden vahvistusjärjestelmä: Tämä prosessi varmistaa, että käyttäjille toimitettu ohjelmisto vastaa lähdekoodia eikä sitä ole muunneltu tai peukaloitu jakelun aikana.

Tarvitsetko apua? Ota yhteyttä ExpressVPN:n asiakastukeen, niin vastaamme heti.

Takaisin ylös

Kuka tekee ExpressVPN:n tarkastukset

ExpressVPN on tehnyt tarkastusohjelmassaan yhteistyötä useiden vakiintuneiden ja riippumattomien kyberturvallisuus- ja asiantuntijapalveluyhtiöiden kanssa. Näitä ovat muun muassa:

• Cure53: Saksalainen kyberturvallisuusyhtiö, joka on erikoistunut tunkeutumistestaukseen ja tietoturvatarkastuksiin.
• KPMG: Yksi maailman suurimmista asiantuntijapalveluyhtiöistä, joka tarjoaa tarkastus- ja varmennuspalveluja kansainvälisesti tunnustettujen standardien mukaisesti.
• PwC Switzerland: Maailman suurimpiin kuuluvan asiantuntijapalveluyhtiön Sveitsin-toimisto, joka tarjoaa tarkastus- ja varmennuspalveluja.
• F-Secure: Suomalainen kyberturvallisuusyhtiö, jolla on pitkä kokemus haavoittuvuustutkimuksesta ja tietoturvatestauksesta.
• Praetorian: Yhdysvaltalainen kyberturvallisuusyhtiö, joka on erikoistunut hyökkäävään tietoturvaan ja teknisiin riskiarvioihin.

Tarvitsetko apua? Ota yhteyttä ExpressVPN:n asiakastukeen, niin vastaamme heti.

Takaisin ylös

Miten ExpressVPN:n tarkastusraporttia luetaan

Kaikki tarkastusraportit eivät noudata samaa rakennetta. ExpressVPN:n tarkastusohjelmassa on kaksi päätyyppiä, ja näkemäsi muoto riippuu siitä, mitä on arvioitu:

Tunkeutumistestit ja lähdekooditarkastukset

Tämäntyyppinen tarkastusraportti sisältää seuraavat osiot:

• Laajuus: Määrittää tarkalleen, mitä on testattu, mukaan lukien tietyt ohjelmistoversiot tai koodimuutokset, ja luettelee selkeästi, mikä jäi tarkastuksen ulkopuolelle. Laajuudesta näet, mihin tarkastus voi ottaa kantaa ja mihin ei.
• Testausmenetelmä: Kuvaa käytetyt testaustavat ja -tekniikat, yleensä jaettuna arvioitavan ohjelmiston osa-alueisiin. Mukana ovat myös sellaiset tutkitut osa-alueet, joista ei löytynyt ongelmia.
• Vakavuusasteikko: Määrittää havaintojen luokitteluun käytetyn arviointijärjestelmän. Jokaisella luokituksella on etukäteen määritelty merkitys, jota tarkastaja soveltaa johdonmukaisesti kaikkiin havaintoihin.
• Tunnistetut haavoittuvuudet: Luettelee jokaisen löydetyn tietoturvaongelman, johon sisältyy yksilöllinen tunniste, vakavuusluokitus, tekninen kuvaus, tarvittaessa konseptitodistus (proof of concept) sekä korjausmerkintä, joka vahvistaa, onko ongelma korjattu ja varmistettu.
• Muut havainnot: Selostaa sellaiset heikkoudet, jotka eivät ole hyödynnettävissä olevia haavoittuvuuksia, mutta voivat auttaa hyökkääjää tai osoittaa kehityskohteita ohjelmistossa.
• Tarkastajan johtopäätös: Loppulausunto, joka tiivistää tarkastajan kokonaisarvion. Johtopäätökset kirjoittaa tarkastusyritys, ei ExpressVPN, ja ne edustavat tarkastajan riippumatonta näkemystä.

Varmennustoimeksiannot

Näissä raporteissa ei luetella haavoittuvuuksia eikä käytetä vakavuusluokituksia. Sen sijaan tarkastaja arvioi ExpressVPN:n teknisiä kontrolleja ja sisäisiä prosesseja määriteltyjä kriteerejä vasten ja antaa virallisen lausunnon siitä, toimivatko kontrollit kuvatulla tavalla. Raportista kannattaa katsoa, antoiko tarkastaja varmennuksen ja kirjattiinko mahdollisia poikkeamia.

Tarvitsetko apua? Ota yhteyttä ExpressVPN:n asiakastukeen, niin vastaamme heti.

Takaisin ylös

Tutustu ExpressVPN:n tarkastusraportteihin

Jokainen raportti, mukaan lukien siinä havaitut ongelmat, julkaistaan kokonaisuudessaan sellaisena kuin tarkastaja on sen toimittanut. Julkaistut raportit ovat luettavissa osoitteessa expressvpn.com/trust.

Tarvitsetko apua? Ota yhteyttä ExpressVPN:n asiakastukeen, niin vastaamme heti.

Takaisin ylös