ExpressVPN-beveiliging onderzocht in audits door KPMG en Cure53

Eerder dit jaar hebben we besloten te investeren in meer audits door derden. Audits door betrouwbare derden zijn een belangrijk teken van vertrouwen en transparantie, omdat ze onze privacy- en beveiligingsclaims onafhankelijk beoordelen.

Vandaag delen we de meest recente van deze audits. We hebben zowel KPMG als Cure53 gevraagd om onze systemen en kernservertechnologieën afzonderlijk en onafhankelijk te testen. Deze auditrapporten tonen aan dat u erop kunt vertrouwen dat wij nooit zullen weten wat u online doet wanneer u met onze dienst bent verbonden en dat wij niet over dergelijke gevoelige informatie beschikken om te delen, zelfs als wij daartoe worden gedwongen.

Wij verzamelen alleen de minimale gegevens die nodig zijn om VPN-diensten van wereldklasse op schaal te exploiteren. Dat betekent dat we nooit gegevens verzamelen of opslaan die de privacy of veiligheid van een gebruiker in gevaar kunnen brengen — we bewaren dus geen logs van activiteiten, verbindingen of andere gevoelige informatie.

Een van de belangrijkste manieren waarop we dit doen is via TrustedServer, onze innovatieve VPN-servertechnologie die we speciaal ontwikkelden om de privacy- en beveiligingsrisico’s van traditioneel serverbeheer aanzienlijk te minimaliseren. TrustedServer is ’s werelds meest geavanceerde servertechnologie, met meerdere lagen van controles die ervoor zorgen dat we geen gebruikersgegevens loggen — zelfs niet per ongeluk.

We hebben een reeks controles gedefinieerd en geïmplementeerd die ons het vertrouwen geven dat we werken in overeenstemming met ons beleid tegen logs. KPMG testte het ontwerp en de uitvoering van de controles die ons helpen de belangrijkste aspecten van ons privacybeleid te realiseren. Cure53 heeft ook een pentest en audit van de broncode van TrustedServer uitgevoerd.

KPMG-audit stelt beleid tegen logs van ExpressVPN op de proef

Onafhankelijke auditors van KPMG interviewden onze teamleden en testten ons controlekader van processen en systemen die ervoor moeten zorgen dat onze VPN-servers in overeenstemming zijn met ons privacybeleid. Daarbij werd ons beleid gecontroleerd om geen logs van activiteiten of verbindingen te bewaren, en nagegaan of de TrustedServer-technologie werkt zoals wordt beschreven.

Kortom, we zijn blij dat KPMG ons een positief advies heeft gegeven.

Het volledige rapport van KPMG is voor iedereen beschikbaar — zolang u de algemene voorwaarden van KPMG erkent voordat u het opent. Klanten van ExpressVPN kunnen het rapport ook volledig lezen door in te loggen en de pagina’s omtrent privacy en veiligheidsaudits te bezoeken.

De audit werd uitgevoerd onder de wereldwijd erkende International Standard on Assurance Engagements (ISAE) (UK) 3000 Type 1.

Cure53-audit versterkt verder de veiligheid van TrustedServer

Los daarvan heeft cybersecurity-bedrijf Cure53 een audit van de broncode en white-box-veiligheidsevaluatie van TrustedServer uitgevoerd. De bevindingen waren positief en benadrukken de sterke beveiligingshouding van TrustedServer. (ter info: onze 100.000 USD bug bounty voor TrustedServer ligt nog steeds voor het grijpen!)

Cure53 stelt dat “vooral algemene zwakheden en kleine gebreken werden ontdekt. Verder kunnen de meeste daarvan worden beoordeeld als triviaal om te repareren en op te lossen. Het kan ook positief worden erkend dat geen van de vier daadwerkelijk geïdentificeerde kwetsbaarheden een hoge of kritieke ernstscore had, wat aantoont dat de ExpressVPN TrustedServer-componenten al een vrij robuuste omgeving hebben.”

Lees het volledige auditrapport van Cure53 hier.

Onze toewijding aan vertrouwen en transparantie

De twee nieuwe audits vormen een aanvulling op onze lijst van audits en veiligheidsevaluaties uit het verleden:

• Een audit door Cure53 over onze Linux app (augustus 2022)
• Een audit door Cure53 over onze macOS app (juli 2022)
• Een veiligheidsaudit door Cure53 van onze Aircove-router (juli 2022)
• Veiligheidsaudits door F-Secure van onze apps voor Windows v12 (april 2022)
• Veiligheidsaudits door F-Secure van onze apps voor Windows v10 (maart 2022)
• Een veiligheidsaudit door Cure53 van ons VPN-protocol Lightway (augustus 2021)
• Een audit door PwC Switzerland over ons bouwverificatieproces (juni 2020)
• Een audit door PwC Switzerland van ons privacybeleid en onze intern ontwikkelde technologie TrustedServer (juni 2019)
• Een veiligheidsaudit door Cure53 van onze browserextensie (november 2018)

“We zijn blij dat onze systemen en kernservertechnologieën zijn onderzocht door KPMG en Cure53. Regelmatige audits door derden die onze controles valideren, de resultaten van het werk van ons interne team, en andere beveiligingsinspanningen zoals ons bug bounty-programma, geven ons nog meer vertrouwen dat we onze gebruikers goed beschermen,” zegt Aaron Engel, Hoofd Cybersecurity, ExpressVPN. “We zijn er trots op dat we de industrie leiden op het gebied van vertrouwen en transparantie, en kijken ernaar uit om dit jaar nog meer audits te publiceren.”

We verwijzen in dit artikel soms naar Engelstalige inhoud, omdat we geloven dat het alsnog relevant voor u kan zijn en we hopen dat u er toch van kunt genieten.