Dalla creazione alla consegna, il software ExpressVPN è protetto da una contaminazione con codice dannoso, grazie a un sistema interno di verifica della build, verificato in modo indipendente.

Utilizziamo coppie di chiavi pubbliche-private per una serie di scopi di sicurezza, come l'autenticazione a due fattori, la firma commit Git e la connessione a un server tramite SSH. Riduciamo il rischio che le nostre chiavi private vengano rubate conservandole su dispositivi di sicurezza hardware. Ciò significa che anche se le nostre workstation vengono compromesse, un utente malintenzionato non potrà rubare le nostre chiavi private.

Questi dispositivi sono protetti con passphrase sicure e configurati per bloccarsi (brick) dopo che sono stati effettuati più tentativi falliti di sbloccarli. I dispositivi richiedono un tocco fisico per funzionare, il che significa che il malware non può rubare le chiavi senza che sia coinvolto un essere umano.

Tutto il codice di produzione richiede che almeno un altro essere umano agisca come revisore. Ciò rende molto più difficile aggiungere codice dannoso, sia da minacce interne che dopo la compromissione di una workstation di un dipendente.

Utilizziamo il protocollo SSH come modo sicuro per ottenere l'accesso remoto ai nostri server critici. Questi server SSH sono configurati per utilizzare solo un set di codici altamente sicuri, algoritmi di scambio di chiavi e MAC. Inoltre, non è consentito connettersi come root e l'autenticazione può avvenire solo utilizzando chiavi SSH forti, senza password. Utilizziamo host intermedi SSH bastion per segregare l'infrastruttura di produzione dalla rete internet aperta. Queste macchine accettano solo traffico da indirizzi contenuti all'interno di una whitelist di IP.

Tutta questa configurazione è definita nel codice e risulta quindi peer reviewed e riproducibile.

Per le macchine di produzione, le dipendenze software vengono aggiornate automaticamente tramite update automatici.

Per attenuare il rischio di chiavi rubate utilizzate per impersonare un server VPN, richiediamo all'applicazione ExpressVPN di effettuare il check-in con i nostri server API per ricevere le impostazioni di configurazione aggiornate. Le nostre applicazioni autenticano i server a cui si connettono convalidando la firma dell'autorità di certificazione privata (CA) e il nome comune, assicurando che un utente malintenzionato non possa impersonare noi.

Quando utilizzi ExpressVPN, i tuoi dati sono protetti dalla matematica avanzata dell'AES-256, lo stesso standard di crittografia adottato dal governo degli Stati Uniti e ritenuto affidabile dagli esperti di sicurezza di tutto il mondo per proteggere le informazioni riservate. Quando utilizzi il gestore di password di ExpressVPN (ExpressVPN Keys), i tuoi dati sensibili sono protetti dalla crittografia a conoscenza zero in modo che nessuno, nemmeno noi, possa decifrare le informazioni memorizzate in Keys. Tutte le informazioni vengono decifrate solo sul dispositivo dell'utente e possono essere decifrate solo utilizzando le chiavi di crittografia generate dalla password principale dell'utente, che solo lui conosce.

Per garantire che il servizio di IP dedicato (DIP) di ExpressVPN garantisca una sicurezza tecnica e una privacy solide, utilizziamo l'allocazione di IP a conoscenza zero e token ciechi per impedire agli amministratori di ExpressVPN di identificare un utente dal suo indirizzo IP dedicato.

La modellazione delle minacce alla sicurezza e alla privacy è incorporata nella fase di progettazione di qualsiasi sistema. Utilizziamo il framework MITRE ATT&CK per identificare le minacce che possono essere presenti nei nostri progetti, considerare i modi per rimuoverle e applicare misure adeguate per ridurre al minimo i potenziali rischi.

Tutti i nostri utenti, servizi e operazioni seguono il modello del privilegio minimo. I nostri dipendenti sono autorizzati ad accedere solo ai servizi e ai sistemi di produzione necessari per i loro ruoli. I nostri operatori dell'assistenza clienti lavorano in due ambienti, uno non attendibile per le attività generali di navigazione web e uno restrittivo per l'accesso a sistemi sensibili. Queste misure, oltre a ridurne al minimo l'impatto, ostacolano gli obiettivi di eventuali malintenzionati nel caso in cui riescano a prendere il controllo di uno qualsiasi dei nostri account.

Monitoriamo continuamente servizi e infrastrutture interne per prevenire eventuali attività anomale o non autorizzate. Il nostro team di sicurezza "on-call" disponibile 24 ore su 24, 7 giorni su 7, esegue un monitoraggio e una valutazione in tempo reale degli avvisi di sicurezza.

Molti dei nostri sistemi vengono automaticamente distrutti e ricostruiti più volte alla settimana, se non addirittura su base giornaliera. Ciò limita il potenziale periodo di tempo in cui un utente malintenzionato può nascondersi all'interno dei nostri sistemi.