ExpressVPN Megbízhatósági központ

Az ExpressVPN szoftverét a fejlesztéstől egészen a kiadásig védjük a rosszindulatú kódok bejutása ellen, Ezt egy saját fejlesztésű beépített hitelesítési rendszer biztosítja, amelyet független szakértők is ellenőriztek.

Különféle biztonsági célokra nyilvános–privát kulcspárokat használunk, például kétfaktoros hitelesítéshez, Git commitok aláírásához vagy szerverhez való csatlakozáshoz SSH-n keresztül. A privát kulcsokat hardveres biztonsági eszközökön tároljuk, így még akkor sem lophatók el, ha egy munkaállomás kompromittálódik.

Ezek az eszközök erős jelszavakkal vannak védve, és több sikertelen próbálkozás után automatikusan zárolják magukat. Használatukhoz fizikai érintés szükséges, így rosszindulatú szoftver nem tudja megszerezni a kulcsokat emberi közreműködés nélkül.

Minden éles környezetbe kerülő kódot legalább egy másik szakember is átnéz. Ez jelentősen csökkenti annak az esélyét, hogy rosszindulatú kód kerüljön be a rendszerbe – akár belső fenyegetés, akár egy feltört munkaállomás miatt.

A kritikus szervereinkhez való távoli hozzáférést SSH-n keresztül biztosítjuk, szigorúan biztonságos beállításokkal. Csak erős titkosítási algoritmusokat használunk, root felhasználóval nem lehet belépni, és kizárólag SSH-kulcsos hitelesítés engedélyezett – jelszavak nem. Az infrastruktúrát köztes (bastion) szerverekkel választjuk el az internettől, amelyek csak előre engedélyezett IP-címekről fogadnak kapcsolatot.

Minden beállítás kódban van definiálva, így ellenőrizhető és reprodukálható.

Az éles rendszereken a szoftverfüggőségek automatikusan frissülnek, felügyelet nélküli frissítések segítségével, így minimalizáljuk a sérülékenységek kockázatát.

Annak érdekében, hogy csökkentsük az ellopott kulcsokkal való visszaélés kockázatát, az ExpressVPN alkalmazás rendszeresen kapcsolatba lép az API szervereinkkel a friss konfigurációk lekéréséhez. Az alkalmazások ellenőrzik a szerverek hitelességét a privát hitelesítésszolgáltató (CA) aláírásának és a domain névnek az érvényesítésével, így egy támadó nem tudja kiadni magát a rendszerünknek.

Az ExpressVPN használatakor adatait fejlett matematikai AES-256 titkosítás védi, amely ugyanaz a titkosítási szabvány, amelyet az Egyesült Államok kormánya is elfogadott, és amelyben a biztonsági szakértők világszerte megbíznak a minősített információk védelme érdekében.

Az ExpressVPN jelszókezelőjének (ExpressKeys) használatakor bizalmas adatait nulla tudású titkosítás védi, így senki – még mi sem – nem tudja visszafejteni az ExpressKeys-ben tárolt információkat. Minden információ visszafejtése kizárólag a felhasználó eszközén történik, és csak a felhasználó elsődleges jelszava által generált titkosítási kulcsokkal lehetséges – amelyeket csak ők ismernek.

Annak érdekében, hogy az ExpressVPN dedikált IP (DIP) megoldása robusztus technikai biztonságot és adatvédelmet biztosítson, nulla tudású IP-címkiosztást és titkosított tokeneket használunk, hogy megakadályozzuk, hogy az ExpressVPN rendszergazdái valaha is azonosítsák a felhasználót a dedikált IP-címéről.

A biztonsági és adatvédelmi kockázatok elemzése már a rendszerek tervezési fázisában megtörténik. A MITRE ATT&CK keretrendszert használjuk a lehetséges fenyegetések azonosítására, azok megszüntetésére, illetve a kockázatok minimalizálására szolgáló intézkedések kidolgozására.

Minden felhasználó, szolgáltatás és folyamat a legkisebb szükséges jogosultság elve szerint működik. Munkatársaink csak azokhoz a rendszerekhez és szolgáltatásokhoz férnek hozzá, amelyek a feladataik ellátásához szükségesek. Az ügyfélszolgálati munkatársak két külön környezetben dolgoznak: egy általános, nem biztonságos böngészésre szolgáló, valamint egy szigorúan korlátozott, érzékeny rendszerek elérésére kialakított környezetben. Ezek az intézkedések csökkentik a károk mértékét, ha egy támadó mégis hozzáférést szerezne valamelyik fiókhoz.

Az ExpressVPN folyamatosan figyeli a belső szolgáltatásokat és infrastruktúrát minden szokatlan vagy jogosulatlan tevékenység után kutatva. A 24/7-ben elérhető biztonsági csapat valós időben elemzi és kezeli a riasztásokat.

Számos rendszerünk automatikusan törlésre és újraépítésre kerül hetente többször, sőt gyakran naponta. Ez jelentősen csökkenti annak az időtartamát, ameddig egy esetleges támadó észrevétlenül jelen lehet a rendszereinkben.