El software de ExpressVPN está protegido, desde la creación hasta la entrega del software, contra la contaminación con código malintencionado, gracias a un sistema interno de verificación de compilaciones que ha sido revisado de forma independiente.

Usamos pares de claves públicas-privadas para diversos propósitos de seguridad, como la autenticación de dos factores, la firma de confirmaciones de Git y la conexión a un servidor mediante SSH. Mitigamos el riesgo de que nos roben nuestras claves privadas al mantenerlas en dispositivos de seguridad de hardware. Esto significa que, aún si nuestras estaciones de trabajo se vieran comprometidas, un atacante no puede robar nuestras claves privadas.

Estos dispositivos están protegidos con frases de contraseña seguras y están configurados para bloquearse después de varios intentos fallidos de desbloquearlos. Los dispositivos requieren un toque físico para funcionar, lo que significa que el malware no puede robar las claves sin la participación de un ser humano.

Todo el código de producción requiere que al menos otra persona actúe como revisor. Esto dificulta mucho más el poder agregar código malintencionado, ya sea por amenazas internas o si la estación de trabajo de un empleado se ha visto comprometida.

Usamos SSH como una forma segura de obtener acceso remoto a nuestros servidores críticos. Estos servidores SSH están configurados para solamente utilizar un conjunto de cifrados altamente seguros, algoritmos de intercambio de claves y MAC. Tampoco permitimos conexiones como root, y la autenticación solo puede ocurrir usando claves SSH seguras, no se permiten contraseñas. Utilizamos hosts de bastión SSH intermedios para separar la infraestructura de producción de la internet abierta. Estas máquinas solo aceptan tráfico de direcciones en una lista blanca de IP.

Toda esta configuración está definida en el código, así que es revisada por pares y reproducible.

En las máquinas de producción, las dependencias de software se actualizan automáticamente a través de actualizaciones sin supervisión.

Para mitigar la amenaza de que las claves robadas sean utilizadas para hacerse pasar por un servidor VPN, requerimos que la aplicación de ExpressVPN se registre con nuestros servidores API para recibir ajustes de configuración actualizados. Nuestras aplicaciones autentican los servidores a los que se conectan al validar la firma privada de la Autoridad de certificación (CA) y el nombre común, garantizando así que los atacantes no puedan hacerse pasar por nosotros.

Al usar ExpressVPN, sus datos están protegidos por avanzadas matemáticas en AES-256, el mismo estándar de encriptación adoptado por el gobierno de los Estados Unidos y en el que confían expertos en seguridad de todo el mundo para proteger información clasificada. Cuando utiliza el gestor de contraseñas de ExpressVPN (ExpressVPN Keys), sus datos delicados están protegidos por encriptación de conocimiento nulo de modo que nadie, ni siquiera nosotros, puede descifrar la información almacenada en Keys. Esta información solo se descifra en el dispositivo del usuario, y solo puede ser descifrada mediante claves de encriptación generadas por la contraseña principal del usuario, que solo éste conoce.

Para garantizar que la solución de IP dedicada de ExpressVPN mantenga una robusta seguridad técnica y privacidad, usamos asignación de IP de conocimiento cero y tokens cegados para evitar que los administradores de ExpressVPN puedan identificar a un usuario a partir de su dirección IP dedicada.

El modelado de amenazas a la seguridad y la privacidad se incorpora en la fase de diseño de cualquier sistema. Empleamos el marco MITRE ATT&CK para identificar las amenazas que pueden existir en nuestros diseños, considerar formas de eliminarlas, y aplicar medidas suficientes para minimizar los riesgos potenciales.

Todos nuestros usuarios, nuestros servicios y operaciones siguen el modelo de privilegio mínimo. Nuestros empleados solo tienen acceso autorizado a los servicios y sistemas de producción necesarios para sus funciones. Nuestros agentes de soporte técnico trabajan en dos entornos, uno no confiable para actividades generales de navegación web y otro restrictivo para acceder a sistemas confidenciales. Estas medidas minimizan el impacto y frustran los objetivos de los atacantes en caso de que consigan apoderarse de alguna de nuestras cuentas.

Monitoreamos continuamente nuestros servicios internos e infraestructura para detectar cualquier actividad anómala o no autorizada. Nuestro equipo de seguridad, de guardia las 24 horas del día, los 7 días de la semana, lleva a cabo un monitoreo en tiempo real y clasifica las alertas de seguridad.

Muchos de nuestros sistemas se destruyen y reconstruyen automáticamente varias veces por semana, e incluso diariamente. Esto limita el tiempo potencial que un atacante es capaz de permanecer dentro de nuestros sistemas.