- Home
- Fiducia
Centro protezione di ExpressVPN
ExpressVPN è prima di tutto una società votata alla privacy. I nostri utenti si affidano a noi per proteggere la propria privacy con una combinazione leader del settore di hardware, software e ingegno umano. Dai uno sguardo a come lavoriamo per guadagnare quella fiducia.
Sicurezza a ExpressVPN: le nostre 4 strategie chiave
Scopri come elaboriamo la sicurezza informatica per proteggere i nostri sistemi e utenti.
1. Rendere i sistemi difficili da compromettere
Dalla creazione alla consegna, il software ExpressVPN è protetto da una contaminazione con codice dannoso, grazie a un sistema interno di verifica della build, verificato in modo indipendente.
Utilizziamo coppie di chiavi pubbliche-private per una serie di scopi di sicurezza, come l'autenticazione a due fattori, la firma commit Git e la connessione a un server tramite SSH. Riduciamo il rischio che le nostre chiavi private vengano rubate conservandole su dispositivi di sicurezza hardware. Ciò significa che anche se le nostre workstation vengono compromesse, un utente malintenzionato non potrà rubare le nostre chiavi private.
Questi dispositivi sono protetti con passphrase sicure e configurati per bloccarsi (brick) dopo che sono stati effettuati più tentativi falliti di sbloccarli. I dispositivi richiedono un tocco fisico per funzionare, il che significa che il malware non può rubare le chiavi senza che sia coinvolto un essere umano.
Tutto il codice di produzione richiede che almeno un altro essere umano agisca come revisore. Ciò rende molto più difficile aggiungere codice dannoso, sia da minacce interne che dopo la compromissione di una workstation di un dipendente.
Utilizziamo il protocollo SSH come modo sicuro per ottenere l'accesso remoto ai nostri server critici. Questi server SSH sono configurati per utilizzare solo un set di codici altamente sicuri, algoritmi di scambio di chiavi e MAC. Inoltre, non consentiamo la connessione come root e l'autenticazione può avvenire solo utilizzando chiavi SSH complesse. Le password non sono consentite. Utilizziamo bastion host SSH intermedi per separare l'infrastruttura di produzione da internet aperto. Queste macchine accettano solo traffico da indirizzi contenuti all'interno di una whitelist di IP.
Tutta questa configurazione è definita nel codice e risulta quindi peer reviewed e riproducibile.
Per le macchine di produzione, le dipendenze software vengono aggiornate automaticamente tramite update automatici.
2. Ridurre al minimo i potenziali danni
Per attenuare il rischio di chiavi rubate utilizzate per impersonare un server VPN, richiediamo all'applicazione ExpressVPN di effettuare il check-in con i nostri server API per ricevere le impostazioni di configurazione aggiornate. Le nostre applicazioni autenticano i server a cui si connettono convalidando la firma dell'autorità di certificazione privata (CA) e il nome comune, assicurando che un utente malintenzionato non possa impersonare noi.
Il password manager di ExpressVPN (denominato ExpressVPN Keys) sfrutta la crittografia a conoscenza zero per garantire che nessuno, nemmeno ExpressVPN, possa decrittografare le informazioni memorizzate dai nostri utenti. La crittografia a conoscenza zero garantisce che, in caso di violazione dei dati dei nostri server, un utente malintenzionato non sarebbe in grado di decrittografare qualsiasi informazione memorizzata dagli utenti. Tali informazioni vengono sempre decrittografate esclusivamente sul dispositivo di un utente e possono essere decrittografate utilizzando chiavi di crittografia generate dalla loro password principale, che solo loro conoscono.
La modellazione delle minacce alla sicurezza e alla privacy è incorporata nella fase di progettazione di qualsiasi sistema. Utilizziamo il framework MITRE ATT&CK per identificare le minacce che possono essere presenti nei nostri progetti, considerare i modi per rimuoverle e applicare misure adeguate per ridurre al minimo i potenziali rischi.
Tutti i nostri utenti, servizi e operazioni seguono il modello del privilegio minimo. I nostri dipendenti sono autorizzati ad accedere solo ai servizi e ai sistemi di produzione necessari per i loro ruoli. I nostri operatori dell'assistenza clienti lavorano in due ambienti, uno non attendibile per le attività generali di navigazione web e uno restrittivo per l'accesso a sistemi sensibili. Queste misure, oltre a ridurne al minimo l'impatto, ostacolano gli obiettivi di eventuali malintenzionati nel caso in cui riescano a prendere il controllo di uno qualsiasi dei nostri account.
3. Ridurre al minimo il tempo di compromissione
Monitoriamo continuamente servizi e infrastrutture interne per prevenire eventuali attività anomale o non autorizzate. Il nostro team di sicurezza "on-call" disponibile 24 ore su 24, 7 giorni su 7, esegue un monitoraggio e una valutazione in tempo reale degli avvisi di sicurezza.
Molti dei nostri sistemi vengono automaticamente distrutti e ricostruiti più volte alla settimana, se non addirittura su base giornaliera. Ciò limita il potenziale periodo di tempo in cui un utente malintenzionato può nascondersi all'interno dei nostri sistemi.
4. Convalidare i nostri controlli di sicurezza
Eseguiamo regolarmente i cosiddetti penetration test per valutare i nostri sistemi e software e identificare eventuali vulnerabilità e punti deboli. I nostri tester hanno pieno accesso al codice sorgente e impiegano una combinazione di test automatizzati e manuali per garantire una valutazione approfondita dei nostri servizi e prodotti.
Ci avvaliamo di revisori indipendenti per valutare la sicurezza dei nostri servizi e software. Queste operazioni servono a confermare che i nostri controlli interni siano efficaci nel ridurre vulnerabilità sulla sicurezza, offrendo al contempo ai clienti la documentazione sull'accuratezza delle dichiarazioni di sicurezza che facciamo sui nostri prodotti.
Innovazione
Oltre a lavorare sodo per soddisfare e superare gli standard di sicurezza del settore, ci concentriamo costantemente anche sull'innovazione e sulla ricerca incessante di nuovi modi per salvaguardare i nostri prodotti e la privacy dei nostri utenti. Qui vogliamo evidenziare due tecnologie rivoluzionarie create da ExpressVPN.
Lightway: il nostro protocollo offre un'esperienza VPN superiore
Lightway è un protocollo VPN creato da ExpressVPN. Un protocollo VPN è il metodo con cui un dispositivo si connette a un server VPN. Sebbene la maggior parte dei provider utilizzi gli stessi protocolli standard, noi abbiamo deciso di crearne uno con prestazioni superiori, rendendo l'esperienza VPN degli utenti non solo più veloce e affidabile, ma anche più sicura.
Lightway utilizza wolfSSL, la cui consolidata libreria di crittografia è stata ampiamente verificata da terze parti, anche rispetto allo standard FIPS 140-2.
Lightway conserva inoltre la cosiddetta perfect forward secrecy (segretezza in avanti), con chiavi di crittografia dinamiche che vengono regolarmente eliminate e rigenerate.
La libreria principale di Lightway è stata resa open-source, garantendo che possa essere valutato in modo trasparente e ampio per quanto riguarda la sicurezza.
Lightway include un supporto post-quantistico, proteggendo gli utenti da malintenzionati con accesso sia a computer classici che quantistici. ExpressVPN è uno dei primi provider VPN a implementare la protezione post-quantistica, aiutando gli utenti a rimanere sicuri di fronte ai progressi nella tecnologia dei computer quantistici.
Scopri di più su Lightway e leggi il nostro blog dedicato allo sviluppo per approfondimenti tecnici su come funziona Lightway e cosa lo rende migliore degli altri, direttamente dagli sviluppatori dei software ExpressVPN.
TrustedServer: tutti i dati cancellati ad ogni riavvio
TrustedServer è la tecnologia server VPN che abbiamo creato per offrire una maggiore sicurezza ai nostri utenti.
Funziona solo su memoria volatile o RAM. Il sistema operativo e le app non scrivono mai su dischi rigidi, ma conservano tutti i dati fino a quando non vengono cancellati o sovrascritti. Poiché la RAM richiede alimentazione per archiviare i dati, tutte le informazioni su un determinato server vengono cancellate ogni volta che viene spento e riacceso, impedendo sia ai dati che a potenziali intrusi di persistere sulla macchina.
Con TrustedServer, ognuno dei server di ExpressVPN esegue il software più aggiornato, anziché distribuire aggiornamenti in momenti diversi in base alle varie esigenze. Ciò significa che ExpressVPN sa esattamente cosa viene eseguito su ogni server, riducendo al minimo il rischio di vulnerabilità o configurazioni errate e migliorando notevolmente la sicurezza VPN.
La tecnologia TrustedServer è stata verificata da PwC.
Vuoi conoscere più nel dettaglio tutti i modi in cui TrustedServer protegge gli utenti? Leggi il nostro approfondimento sulla tecnologia, scritto dall'ingegnere che ha progettato il sistema.
Audit indipendenti sulla sicurezza
Ci impegniamo a commissionare audit dettagliati a terze parti sui nostri prodotti con grande frequenza. Ecco un elenco completo dei nostri audit esterni, in ordine cronologico:
- Una verifica sulle app Windows per confermare la risoluzione di un problema DNS correlato allo split tunneling (Aprile 2024)
- Una verifica da parte di KPMG per valutare quanto dichiarato all'interno della nostra Informativa sulla privacy (Dicembre 2023)
- La seconda verifica del nostro protocollo VPN Lightway da parte di Cure53 (Novembre 2022)
Un audit di Cure53 sull'estensione ExpressVPN Keys per browser (Ottobre 2022)
Un audit di Cure53 sull'estensione di ExpressVPN per browser (Ottobre 2022)
Un audit di KPMG sulla nostra politica no-log (Settembre 2022)
Un audit di Cure53 sulla sicurezza della nostra app per iOS (Settembre 2022)
Un audit di Cure53 sulla sicurezza della nostra app per Android (Agosto 2022)
Un audit di Cure53 sulla nostra app Linux (Agosto 2022)
Un audit di Cure53 sulla nostra app macOS (Luglio 2022)
Un audit di Cure53 sulla sicurezza del nostro router Aircove (Luglio 2022)
Un audit di Cure53 sulla sicurezza di TrustedServer, la nostra tecnologia server VPN interna (Maggio 2022)
Una verifica da parte di F-Secure sulla nostra app Windows v12 (Aprile 2022)
Una verifica da parte di F-Secure sulla sicurezza della nostra app per Windows v10 (Marzo 2022)
Un audit di Cure53 sulla sicurezza del nostro protocollo VPN Lightway (Agosto 2021)
Un audit di PwC Switzerland sul nostro processo di verifica della build (Giugno 2020)
Un audit di Cure53 sulla sicurezza della nostra estensione per browser (Novembre 2018)
Bug bounty
Attraverso il nostro programma di bug bounty, invitiamo ricercatori sulla sicurezza a testare i nostri sistemi e ricevere ricompense finanziarie per eventuali problemi riscontrati. Questo programma ci offre l'accesso a un gran numero di tester che valutano regolarmente la nostra infrastruttura e le nostre applicazioni per scovare bug sulla sicurezza. Questi risultati vengono poi convalidati e corretti, garantendo che i nostri prodotti siano il più sicuri possibile.
La portata del nostro programma include vulnerabilità nei nostri server VPN, nelle app ed estensioni del browser, nel sito Web e altro ancora. Alle persone che segnalano i bug, forniamo un approdo sicuro conforme alle migliori pratiche globali nell'ambito di ricerca sulla sicurezza.
Il nostro programma bug bounty è gestito da Bugcrowd. Segui questo link per saperne di più o per segnalare un bug.
Leadership di settore
Mentre stabiliamo standard rigorosi per noi stessi, crediamo anche che il nostro lavoro di costruzione di un internet più privato e sicuro non possa fermarsi qui: ecco perché collaboriamo con l'intero settore VPN per aumentare gli standard e proteggere meglio gli utenti.
Abbiamo co-fondato e presiediamo la VPN Trust Initiative (VTI) insieme alla Internet Infrastructure Coalition (i2Coalition) e a molti altri importanti attori del settore. Oltre al suo continuo lavoro di sensibilizzazione e advocacy, il gruppo ha lanciato i Principi VTI, delle linee guida condivise per provider VPN responsabili nei settori della sicurezza, della privacy, della trasparenza e altro ancora. Tali principi si basano sulla precedente iniziativa di trasparenza di ExpressVPN in collaborazione con il Center for Democracy and Technology.
Alcune delle innovazioni che abbiamo sperimentato hanno contribuito a far progredire il settore VPN. Siamo stati i primi a creare TrustedServer e da allora altri hanno seguito il nostro esempio per implementare una tecnologia simile. Lightway è un altro esempio di tecnologia che abbiamo costruito da zero e speriamo che attraverso l'open-sourcing possa avere un'influenza sul settore VPN nel suo complesso.
Iniziative sulla privacy degne di nota
Scopri di più su come proteggiamo la privacy dei nostri utenti.
Certificazione ioXT
ExpressVPN è diventata una delle poche app VPN ad essere certificata da ioXt Alliance per gli standard di sicurezza, consentendo ai consumatori di utilizzare i nostri servizi con maggiore fiducia.
Funzionalità di privacy in-app
Abbiamo introdotto una funzione sulla nostra app per Android chiamata Riepilogo protezione, che aiuta gli utenti a proteggere la propria privacy con pratiche linee guida.
Digital Security Lab
Abbiamo lanciato il Digital Security Lab (Laboratorio di sicurezza digitale) per approfondire i problemi di privacy del mondo reale. Scopri i suoi strumenti di leak-testing (test di tenuta), che aiutano a convalidare la sicurezza della tua VPN.