Центр управления безопасностью ExpressVPN

Программное обеспечение ExpressVPN находится под надежной защитой от заражения вредоносным кодом на всех этапах жизненного цикла: от разработки до релиза. Мы используем собственную систему верификации, прошедшую независимую проверку.

Мы используем пары приватных и публичных ключей для решения различных задач, связанных с безопасностью: для двухфакторной авторизации, подписи Git-коммитов и подключения к серверам по SSH. Мы сводим к минимуму риск кражи наших приватных ключей, так как храним их на физических защитных устройствах. Таким образом даже если хакеры смогут получить доступ к нашим рабочим системам, они не смогут украсть наши приватные ключи.

Эти устройства защищены надежными парольными фразами и настроены таким образом, что всего после нескольких неудачных попыток разблокировки превращаются в бесполезные куски металла и пластика. Для работы этих устройств требуется физическое прикосновение, поэтому вредоносный код не сможет украсть ключи без помощи человека.

Весь написанный нами код проверяется как минимум одним специалистом. Такой подход защищает его и от внутренних угроз, и от взлома рабочих систем наших сотрудников.

Мы используем SSH для получения безопасного удаленного доступа к самым важным серверам нашей сети. Эти SSH-серверы специально настроены так, чтобы использовать только самые надежные шифры защиты, алгоритмы обмена ключами и MAC-адреса. Также к ним нельзя подключиться через root-доступ, а авторизация выполняется только с помощью надежных SSH-ключей — в данном случае мы не используем пароли. Также мы применяем в качестве посредников узлы-бастионы SSH, отделяющие наши рабочие серверы от Сети. Эти узлы принимают трафик только от адресов, внесенные в белый список IP.

Все эти настройки заданы в программном коде, поэтому их можно проверить и воспроизвести. 

Программные зависимости рабочих серверов обновляются автоматически с помощью специализированных алгоритмов.

Чтобы устранить риск использования украденных ключей для создания поддельного VPN-сервера, приложение ExpressVPN получает обновленную конфигурацию настроек от наших API-серверов. Наши приложения удостоверяют подлинность серверов, к которым подключаются, с помощью проверки приватной подписи и названия сертифицирующего центра (CA). Как следствие, хакеры не смогут выдать себя за нас. 

Менеджер паролей ExpressVPN (ExpressVPN Keys) использует алгоритмы шифрования с нулевым разглашением, чтобы никто, в том числе сотрудники ExpressVPN, не мог расшифровать данные наших пользователей. Шифрование с нулевым разглашением гарантирует, что в случае взлома наших серверов злоумышленники не смогут получить доступ ни к каким данным наших клиентов. Расшифровать такие данные можно только на пользовательском устройстве и только с помощью ключей шифрования, которые формируются на базе основного пароля, известного лишь самим пользователям.

Еще на этапе разработки любых систем мы внедряем модели оценки угроз безопасности и приватности. Мы используем фреймворк MITRE ATT&CK для определения угроз, связанных с дизайном наших приложений, рассматриваем различных способы их устранения и применяем все необходимые меры для минимизации возможных рисков. 

Все наши пользователи, сервисы и действия используют так называемую модель наименьших привилегий. Так, наши сотрудники имеют доступ лишь к тем системам и сервисам, которые необходимы им для исполнения рабочих обязанностей. Сотрудники нашей службы пользовательской поддержки работают в двух средах: незащищенной, используемой для типовых онлайн-действий, и защищенной, служащей для доступа к ключевым системам. Эти меры сводят к минимуму возможный ущерб от взлома хакерами учетной записи любого из наших сотрудников.

Мы постоянно отслеживаем состояние наших внутренних сервисов и инфраструктуры на предмет неавторизованной активности. Наша служба безопасности занимается отслеживанием и выявлением различных угроз в режиме реального времени 24/7. 

Многие наши системы автоматически уничтожаются и развертываются снова если не ежедневно, то хотя бы несколько раз в неделю. Это ограничивает возможную продолжительность компрометации наших систем. 

Мы регулярно проводим пенетрационные тесты для оценки наших систем и ПО и выявления уязвимостей и слабостей. Выполняющие проверки сотрудники имеют полный доступ к исходному коду и применяют методы автоматизированного и ручного тестирования для тщательной оценки наших сервисов и продуктов.

Мы просим независимых аудиторов изучать безопасность наших сервисов и ПО. Их проверки подтверждают эффективность наших внутренних действий по устранению уязвимостей в системах безопасности. Также они документально подтверждают наши заявления об уровне безопасности наших продуктов.

Полный список отчетов аудиторов