ExpressVPN-softwaren er beskyttet – fra udviklingen til softwarelevering – mod kontaminering med ondsindet kode grundet et internt verifikationssystem i udviklingsprocessen, der er blevet uafhængigt revideret.

Vi bruger offentlige/private nøglepar af en række sikkerhedsårsager, såsom tofaktorbekræftelse, signering af Git-forpligtelser, og tilslutning til en server via SSH. Vi mindsker risikoen for, at vores private nøgler bliver stjålet ved at opbevare dem på hardwaresikkerhedsenheder. Det betyder, at selvom vores arbejdsstationer bliver kompromitteret, kan en angriber ikke stjæle vores private nøgler.

Disse enheder sikres med stærke adgangskodesætninger og er konfigureret til at "låse" sig selv efter flere mislykkede forsøg på at låse dem op. Enhederne kræver en fysisk berøring for at fungere, hvilket betyder, at malware ikke kan stjæle nøglerne uden at et menneske er involveret.

Alle produktionskoder kræver, at mindst ét andet menneske fungerer som kontrollant. Dette gør det meget vanskeligere at tilføje ondsindet kode – uanset om det er fra en insidertrussel, eller hvis en medarbejders arbejdsstation bliver kompromitteret.

Vi bruger SSH som en sikker måde at få fjernadgang til vores vigtige servere. Disse SSH-servere er konfigureret til kun at bruge et sæt meget sikre cifre, nøgleudvekslingsalgoritmer og MAC-adresser. Vi tillader heller ikke tilslutning som root, og godkendelse kan kun ske ved hjælp af stærke SSH-nøgler – ingen adgangskoder er tilladt. Vi bruger mellemliggende SSH-bastionshosts til at adskille produktionsinfrastruktur fra det åbne internet. Disse maskiner accepterer kun trafik fra adresser på en IP-hvidliste.

Hele denne konfiguration er defineret i kode, hvilket betyder at den er gennemgået af flere fagpersoner, og at den er reproducerbar.

For produktionsmaskiner opdateres softwareafhængigheder automatisk via automatiske opgraderinger.

For at mindske truslen om, at stjålne nøgler bruges til at udgive sig for at være en VPN-server, kræver vi, at ExpressVPN-applikationen tjekker ind med vores API-servere for at modtage opdaterede konfigurationsindstillinger. Vores applikationer bekræfter de servere, de forbinder til, ved at validere den private certifikatudsteders (CA) underskrift og navn, hvilket sikrer, at en angriber ikke kan udgive sig for at være os.

Når du bruger ExpressVPN, er dine data beskyttet af avanceret matematik i AES-256, som er den samme krypteringsstandard som USA har vedtaget. regeringen og betroet af sikkerhedseksperter verden over til at beskytte klassificeret information. Når du bruger ExpressVPN’s adgangskodeadministrator (ExpressVPN Keys), er dine følsomme data beskyttet af vidensfri kryptering så ingen – ikke engang os – kan dekryptere oplysningerne, der er gemt i Keys. Alle oplysninger dekrypteres kun på en brugers enhed og kan kun dekrypteres ved hjælp af krypteringsnøgler genereret af brugerens primære adgangskode – som kun brugeren kender.

For at sikre, at ExpressVPN’s løsning til dedikerede IP'er (DIP) opretholder robust teknisk sikkerhed og privatliv, bruger vi vidensfri IP-allokering og ukendte tokens for at forhindre ExpressVPN-administratorer i nogensinde at identificere en bruger ud fra deres dedikerede IP-adresse.

Modellering af sikkerheds- og privatlivstrusler indarbejdes i designfasen af ethvert system. Vi bruger MITRE ATT&CK-frameworket til at identificere trusler, der kan være tilstede i vores design, overvejer måder at fjerne dem på og anvender tilstrækkelige foranstaltninger til at minimere potentielle risici.

Alle vores brugere, tjenester og driftsoperationer følger modellen om mindst mulighed tilladelsesniveau. Vores medarbejdere har kun autoriseret adgang til de tjenester og produktionssystemer, der er nødvendige for deres roller. Vores kundesupportmedarbejdere arbejder i to miljøer – et upålideligt miljø til generel webbrowsingaktivitet og et restriktivt miljø til adgang til følsomme systemer. Disse foranstaltninger minimerer virkningen og hindrer angribernes mål, hvis de formår at overtage en af vores konti.

Vi overvåger løbende vores interne tjenester og infrastruktur for enhver unormal eller uautoriseret aktivitet. Vores sikkerhedsteam, der er til rådighed døgnet rundt, udfører overvågning og eskalering af sikkerhedsadvarsler i realtid.

Mange af vores systemer bliver automatisk ødelagt og genopbygget flere gange om ugen, hvis ikke på daglig basis. Dette begrænser den potentielle tid, som en angriber kigger med i vores systemer.