Программное обеспечение ExpressVPN защищено от заражения вредоносным кодом с момента создания и до момента установки на конечное устройство с помощью внутренней системы проверки сборок, которая была независимо проверена.

Мы используем пары приватных и публичных ключей для решения различных задач, связанных с безопасностью: для двухфакторной авторизации, подписи Git-коммитов и подключения к серверам по SSH. Мы сводим к минимуму риск кражи наших приватных ключей, так как храним их на физических защитных устройствах. Таким образом даже если хакеры смогут получить доступ к нашим рабочим системам, они не смогут украсть наши приватные ключи.

Эти устройства защищены надежными парольными фразами и настроены таким образом, что всего после нескольких неудачных попыток разблокировки превращаются в бесполезные куски металла и пластика. Для работы этих устройств требуется физическое прикосновение, поэтому вредоносный код не сможет украсть ключи без помощи человека.

Весь написанный нами код проверяется как минимум одним специалистом. Такой подход защищает его и от внутренних угроз, и от взлома рабочих систем наших сотрудников.

Мы используем SSH для получения безопасного удаленного доступа к самым важным серверам нашей сети. Эти SSH-серверы специально настроены так, чтобы использовать только самые надежные шифры защиты, алгоритмы обмена ключами и MAC-адреса. Также к ним нельзя подключиться через root-доступ, а авторизация выполняется только с помощью надежных SSH-ключей — в данном случае мы не используем пароли. Также мы применяем в качестве посредников узлы-бастионы SSH, отделяющие наши рабочие серверы от Сети. Эти узлы принимают трафик только от адресов, внесенные в белый список IP.

Все эти настройки заданы в программном коде, поэтому их можно проверить и воспроизвести.

Программные зависимости рабочих серверов обновляются автоматически с помощью специализированных алгоритмов.

Чтобы устранить риск использования украденных ключей для создания поддельного VPN-сервера, приложение ExpressVPN получает обновленную конфигурацию настроек от наших API-серверов. Наши приложения удостоверяют подлинность серверов, к которым подключаются, с помощью проверки приватной подписи и названия сертифицирующего центра (CA). Как следствие, хакеры не смогут выдать себя за нас.

Когда вы используете ExpressVPN, ваши данные защищены с помощью передовой математической технологии AES-256 — того же стандарта шифрования, что используется правительством США и которому доверяют эксперты по безопасности по всему миру для защиты секретной информации. Когда вы используете менеджер паролей (ExpressVPN Keys), ваши конфиденциальные данные защищены шифрованием с нулевым разглашением. Это гарантирует, что никто, даже мы, не сможет расшифровать информацию, хранящуюся в Keys. Вся информация расшифровывается исключительно на устройствах пользователей, более того — она может быть расшифрована только с помощью ключей шифрования, созданных основным паролем, который знают только сами пользователи.

Чтобы обеспечить надежную защиту и конфиденциальность при использовании выделенных IP ExpressVPN, мы используем шифрование с нулевым разглашением при распределении IP и анонимные токены. Это позволяет избежать идентификации пользователя администраторами ExpressVPN по его выделенному IP-адресу.

Еще на этапе разработки любых систем мы внедряем модели оценки угроз безопасности и приватности. Мы используем фреймворк MITRE ATT&CK для определения угроз, связанных с дизайном наших приложений, рассматриваем различных способы их устранения и применяем все необходимые меры для минимизации возможных рисков.

Все наши пользователи, сервисы и действия используют так называемую модель наименьших привилегий. Так, наши сотрудники имеют доступ лишь к тем системам и сервисам, которые необходимы им для исполнения рабочих обязанностей. Сотрудники нашей службы пользовательской поддержки работают в двух средах: незащищенной, используемой для типовых онлайн-действий, и защищенной, служащей для доступа к ключевым системам. Эти меры сводят к минимуму возможный ущерб от взлома хакерами учетной записи любого из наших сотрудников.

Мы постоянно отслеживаем состояние наших внутренних сервисов и инфраструктуры на предмет неавторизованной активности. Наша служба безопасности занимается отслеживанием и выявлением различных угроз в режиме реального времени 24/7.

Многие наши системы автоматически уничтожаются и развертываются снова если не ежедневно, то хотя бы несколько раз в неделю. Это ограничивает возможную продолжительность компрометации наших систем.