ExpressVPN Centar povjerenja

ExpressVPN-ov softver je zaštićen, od izrade do isporuke softvera, od zaraze zlonamjernim kodom, zahvaljujući našem vlastitom sustavu provjere koji je neovisno revidiran.

Koristimo javno-privatne parove ključeva u različite sigurnosne svrhe, na primjer dvostruku provjeru autentičnosti, potpisivanje izmjena u Git sustavu te povezivanje na poslužitelj preko SSH. Smanjujemo rizik krađe naših privatnih ključeva tako da ih čuvamo na uređajima za hardversku sigurnost. Ovo znači da čak i ako su naše radne stanice ugrožene, napadač ne može ukrasti naše privatne ključeve.

Ovi su uređaji zaštićeni snažnim pristupnim izrazima i konfigurirani da se „zacementiraju“ nakon nekoliko neuspješnih pokušaja da ih se otključa. Ovim je uređajima potreban fizički dodir kako bi radili, što znači da zlonamjerni softver ne može ukrasti ključeve, a da nije uključen čovjek.

Za sav produkcijski kod je potreban barem jedan čovjek koji radi kao recenzent. Zbog ovoga je značajno teže dodati zlonamjerni kod, neovisno o tome radi li se o unutarnjoj prijetnji ili tome da je ugrožena radna stanica zaposlenika.

Koristimo SSH kao siguran način za dobivanje udaljenog pristupa našim najvažnijim poslužiteljima. Ovi SSH poslužitelji su konfigurirani da koriste samo skup vrlo sigurnih algoritama za šifriranje, algoritama za razmjenu ključeva i MAC-ova. Ne dozvoljavamo ni povezivanje kao root, a autentifikacija se može provesti samo korištenjem snažnih SSH ključeva – nisu dozvoljene lozinke. Koristimo posredničke SSH bastion hostove kako bismo odvojili produkcijsku infrastrukturu od otvorenog interneta. Ovi strojevi prihvaćaju samo promet s adresa s popisa dozvoljenih IP adresa.

Cijela ova konfiguracija je određena u kodu, što znači da je stručno provjerena i moguće ju je reproducirati.

Kada su u pitanju produkcijski strojevi, softverske se zavisnosti automatski ažuriraju pomoću nadogradnji bez nadzora.

U cilju smanjenja prijetnje da će se ukradeni ključevi koristiti kako bi se glumio VPN poslužitelj, tražimo da se ExpressVPN aplikacija registrira na našim API poslužiteljima kako bi dobila ažurirane konfiguracijske postavke. Naše aplikacije autentificiraju poslužitelje na koje se povezuju tako da potvrđuju potpis i uobičajeni naziv privatnog Certifikacijskog tijela (CA) kako bi se osiguralo da nas napadač ne može glumiti.

Kada koristite ExpressVPN, vaši su podaci zaštićeni naprednom matematikom u AES-256, istim enkripcijskim standardom koji koristi američka vlada i kojem vjeruju stručnjaci za sigurnost iz cijelog svijeta da će zaštititi klasificirane informacije.

Kada koristite ExpressVPN-ov upravitelj lozinki (ExpressKeys), vaši su osjetljivi podaci zaštićeni enkripcijom nula znanja tako da nitko – čak ni mi – ne može dekriptirati informacije pohranjene u alatu ExpressKeys. Sve se informacije dekriptiraju samo na korisničkom uređaju i mogu se dekriptirati samo pomoću enkripcijskih ključeva koje generira primarna lozinka korisnika, a koju zna samo on.

U cilju osiguravanja da ExpressVPN-ovo rješenje namjenske IP adrese (DIP) ima otpornu tehničku sigurnost i privatnost, koristimo dodjelu IP adrese s nula znanja i anonimizirane tokene kako bismo spriječili da ExpressVPN administratori identificiraju korisnika na temelju njegove namjenske IP adrese.

Modeliranje prijetnji sigurnosti i privatnosti je ugrađeno u fazu dizajna svakog sustava. Koristimo okvir MITRE ATT&CK za identificiranje prijetnji koje mogu postojati u našem dizajnu, razmišljamo o načinima njihovog uklanjanja i primjenjujemo dostatne mjere kako bismo sveli na minimum potencijalne rizike.

Svi naši korisnici, usluge i operacije se pridržavaju modela minimuma privilegija. Naši zaposlenici imaju ovlašten pristup samo uslugama i produkcijskim sustavima, nužnima za njihove pozicije. Naši agenti korisničke podrške rade u dva okruženja, jednom nepouzdanom za opće aktivnosti surfanja internetom te drugom ograničenom za pristup osjetljivim sustavima. Ove mjere svode na minimum utjecaj i remete ciljeve napadača u slučaju da uspiju preuzeti bilo koji od naših računa.

Stalno nadziremo svoje internetske usluge i infrastrukturu u potrazi za bilo kakvim nepravilnim ili neovlaštenim aktivnostima. Naš 24-satni dežurni tim za sigurnost provodi nadzor i razvrstavanje sigurnosnih upozorenja u stvarnom vremenu.

Mnogi se naši sustavi automatski uništavaju i ponovno izgrađuju nekoliko puta tjedno, u nekim slučajevima čak i svakodnevno. Ovo ograničava potencijalno trajanje tijekom kojeg se napadač uvukao u naše sustave.