ExpressVPN Güven Merkezi

ExpressVPN yazılımı, bağımsız olarak denetlenen bir şirket içi derleme tekik sistemi sayesinde, ilk yazılımdan son aşamaya kadar, kötü amaçlı kod bulaşına karşı korunur.

Genel-özel anahtar çiftlerini, iki faktörlü kimlik doğrulama, Git commitleri imzalama ve bir sunucuya SSH üzerinden bağlanma gibi çeşitli güvenlik amaçları için kullanırız. Özel anahtarlarımızı donanımsal güvenlik cihazlarında tutarak çalınma riskini azaltıyoruz. Bu, iş istasyonlarımız ele geçirilse bile bir saldırganın özel anahtarlarımızı çalamayacağı anlamına gelir.

Bu aygıtlar, güçlü şifrelerle korunmaktadır ve birden çok başarısız kilit açma girişiminden sonra kendilerini "çalışmaz hâle getirmeleri" için yapılandırılmıştır. Cihazların çalışması için fiziksel bir dokunuş gerekir, bu da kötü amaçlı yazılımın bir insan yardımı olmadan anahtarları çalamayacağı anlamına gelir.

Tüm üretim kodları, kontrol edici görevi gören en az bir başka insan tarafından denetlenir. Bu, ister içeriden gelen bir tehdit, ister bir çalışanın iş istasyonunun ele geçirilmesi şeklinde olsun kötü amaçlı kod eklemeyi çok daha zorlaştırır.

Kritik sunucularımıza uzaktan erişim sağlamanın güvenli bir yolu olarak SSH kullanıyoruz. Bu SSH sunucuları yalnızca bir dizi yüksek güvenlikli şifre, anahtar değişim algoritması ve MAC kullanacak şekilde yapılandırılmıştır. Kök bağlantıya izin vermiyoruz ve kimlik doğrulama yalnızca güçlü SSH anahtarları kullanılarak gerçekleştirilebilir; şifre kullanımına izin verilmez. Üretim altyapısını açık internetten ayırmak için ara SSH savunma kalesi ana bilgisayarlarını kullanıyoruz. Bu makineler yalnızca güvenilir IP listesindeki adreslerden gelen trafiği kabul eder.

Bu yapılandırmanın tümü kodda tanımlanmıştır, bu nedenle meslektaşlar tarafından gözden geçirilir ve yeniden üretilebilir.

Üretim makineleri için yazılım bağımlılıkları, katılımsız yükseltmeler yoluyla otomatik olarak güncellenir.

VPN sunucusu kimliğine bürünmek için kullanılan çalıntı anahtar tehdidini azaltmak için, ExpressVPN uygulamasının güncellenmiş yapılandırma ayarlarını edinmek için API sunucularımıza giriş yapmasını şart koşuyoruz. Uygulamalarımız, özel Sertifika Yetkilisi (CA) imzasını ve ortak adı doğrulayarak bağlandıkları sunucuların kimliğini doğrular ve bu da bir saldırganın bizi taklit edememesini sağlar.

ExpressVPN şifre yöneticisi (ExpressVPN Keys olarak adlandırılır), hiç kimsenin, hatta ExpressVPN'in bile, kullanıcıların depolanan bilgilerinin şifresini çözememesi için sıfır bilgi şifrelemesinden yararlanır. Sıfır bilgi şifrelemesi, sunucularımızda bir veri ihlali olması durumunda, bir saldırganın kullanıcıların depolanmış giriş bilgilerinin şifresini çözemeyeceğini garanti eder. Kullanıcıların cihazında giriş şifresi yalnızca birincil şifreleri tarafından oluşturulan şifreleme anahtarları kullanılarak çözülür - ve bunu yalnızca kullanıcılar bilir.

Güvenlik ve gizlilik tehdidi modellemesi, herhangi bir sistemin tasarım aşamasına dahil edilir. Tasarımlarımızda var olabilecek tehditleri belirlemek, bunları ortadan kaldırmanın yollarını dikkate almak ve potansiyel riskleri en aza indirmek için yeterli önlemleri uygulamak üzere MITRE ATT&CK çerçevesini kullanırız.

Tüm kullanıcılarımız, hizmetlerimiz ve operasyonlarımız en düşük erişim hakkı modelini izler. Çalışanlarımız, yalnızca görevleri için gerekli hizmetlere ve üretim sistemlerine erişim yetkisine sahiptir. Müşteri destek elemanlarımız, biri herkese açık web tarama etkinlikleri için güvensiz ortam ve diğeri hassas sistemlere erişim için kısıtlayıcı ortam olmak üzere iki ortamda çalışır. Bu önlemler, hesaplarımızdan herhangi birini ele geçirmeyi başaran saldırganların etkisini en aza indirir ve amaçlarını engeller.

Anormal veya yetkisiz faaliyetler için dahili hizmetlerimizi ve altyapımızı sürekli izliyoruz. 7/24 görev başındaki güvenlik ekibimiz, güvenlik uyarılarını gerçek zamanlı olarak izler ve öncelikle çözümler.

Sistemlerimizin çoğu, günlük olmasa da haftada birkaç kez otomatik olarak yok edilir ve yeniden kurulur. Bu, bir saldırganın sistemlerimizde gizlendiği olası süreyi sınırlar.

Güvenlik açıklarını ve zaaflarını belirlemek, sistemlerimizi ve yazılımlarımızı değerlendirmek için düzenli olarak sızma testleri yapıyoruz. Test uzmanlarımız kaynak koduna tam erişim hakkına sahiptir ve hizmetlerimizin ve ürünlerimizin kapsamlı bir şekilde değerlendirilmesini sağlamak için otomatik ve manuel test kombinasyonu kullanır.

Hizmetlerimizin ve yazılımlarımızın güvenliğini gözden geçirmeleri için bağımsız denetçilerle çalışırız. Bu işbirlikleri, ürünlerimiz hakkında yaptığımız güvenlik iddialarının doğruluğuna ilişkin olarak müşterilerimize belgeler sunarken, iç kontrollerimizin güvenlik açıklarını azaltmada etkili olduğunu doğrulamaya da hizmet eder.

Denetim raporlarının tam listesine bakın