آیا ExpressVPN امن است؟ تحلیل امنیت، حریم خصوصی و حسابرسی

آیا ExpressVPN امن است؟ تحلیلی عمیق از امنیت

ExpressVPN بر اساس گزارش اطمینان عدم ثبت داده منتشرشده توسط KPMG، رمزنگاری AES-256 و سرورهای مبتنی بر RAM در 113 کشور، امتیاز اعتماد 88/۱۰۰ را کسب کرده است. این سرویس تحت صلاحیت قضایی جزایر ویرجین بریتانیا فعالیت می‌کند و خارج از اتحادهای نظارتی ۱۴ Eyes قرار دارد. گزارش اطمینان KPMG و حسابرسی‌های مکرر Cure53 از ادعاهای حریم خصوصی و امنیتی آن پشتیبانی می‌کنند، در محدوده‌ای که در ادامه توضیح داده شده است.

صلاحیت قضایی: چرا جزایر ویرجین بریتانیا اهمیت دارد

ExpressVPN در جزایر ویرجین بریتانیا ثبت شده است؛ یک قلمرو خودگردان و متعلق به بریتانیا در خارج از سرزمین اصلی. جزایر ویرجین خارج از اتحادهای تبادل اطلاعات اطلاعاتی ۵ Eyes، ۹ Eyes و ۱۴ Eyes قرار دارند. ما هیچ منبع اولیه‌ای برای قانون نگهداری داده VPN در جزایر ویرجین پیدا نکردیم، بنابراین چنین ادعایی نمی‌کنیم. TorrentFreak گزارش داد[1] که ExpressVPN تنها به دستورهای قضایی محلی پاسخ می‌دهد.

آزمون عملی این موضوع در سال ۲۰۱۷ رخ داد. مقامات ترکیه در یک تحقیق، یک سرور ExpressVPN را توقیف کردند. بر اساس همان گزارش، بازرسی هیچ اطلاعات مفیدی به دست نداد، و ExpressVPN اعلام کرد که به بازرسان گفته بود هرگز لاگ اتصال مشتریان را در اختیار نداشته است.

سابقه حسابرسی مستقل

ExpressVPN از اکثر رقبای خود حسابرسی امنیتی شخص ثالث بیشتری انجام داده است. هر حسابرسی جنبه‌های متفاوتی از ادعاهای حریم خصوصی و امنیتی سرویس را بررسی کرده است.

گزارش اطمینان عدم ثبت داده KPMG

KPMG LLP، از ۲۸ فوریه ۲۰۲۵[2]، طبق ISAE (UK) 3000 Type 1 اطمینان معقول درباره سیستم TrustedServer و ادعاهای سیاست حریم خصوصی ExpressVPN ارائه داد. ExpressVPN می‌گوید هیچ مشکلی در زمینه تدابیر فنی برای جلوگیری از ثبت فعالیت شناسایی نشده است. این گزارش یک ارزیابی نقطه‌ای است که توسط ExpressVPN سفارش داده شده، نه پایش مداوم، و پس از پذیرش شرایط KPMG قابل مطالعه است. ExpressVPN آن را دومین ارزیابی KPMG خود توصیف می‌کند.

حسابرسی‌های امنیتی Cure53

Cure53، یک شرکت امنیت سایبری آلمانی، بسیاری از گزارش‌های pentest مربوط به ExpressVPN را در فهرست عمومی گزارش‌های خود[3] ثبت کرده است؛ از جمله پروتکل Lightway (۲۰۲۲ و از اکتبر تا نوامبر ۲۰۲۴)، فرمware روتر Aircove (نوامبر ۲۰۲۴)، افزونه‌های مرورگر و کلاینت‌های Android، iOS، Linux و macOS. در پاییز ۲۰۲۴، هم Cure53 و هم Praetorian بازنویسی Rust پروتکل Lightway از سوی ExpressVPN را حسابرسی کردند. ما شمارش شدت یافته‌ها در هر گزارش را دوباره بررسی نکرده‌ایم، پس برای یافته‌ها خود گزارش‌ها را مطالعه کنید.

Cure53 گزارش‌های خود درباره ExpressVPN را به‌صورت عمومی منتشر می‌کند، که در صنعت VPN یک نشانه شفافیت محسوب می‌شود، هرچند هر تعامل توسط ExpressVPN سفارش داده شده است.

سیاست ثبت داده: چه چیزی ذخیره می‌شود و چه چیزی نه

سیاست حریم خصوصی ExpressVPN به‌صراحت بیان می‌کند چه داده‌هایی جمع‌آوری می‌شود. دانستن جزئیات مهم‌تر از ادعاهای بازاریابی است.

داده‌هایی که ExpressVPN ذخیره نمی‌کند

ExpressVPN تاریخچه مرور، مقصد ترافیک، پرس‌وجوهای DNS یا آدرس IP شما را ثبت نمی‌کند. زمان‌های اتصال، مدت نشست یا آدرس‌های IP تخصیص‌یافته VPN را ثبت نمی‌کند. محتوای ارتباطات شما از هیچ سیستم ثبتی عبور نمی‌کند.

داده‌هایی که ExpressVPN جمع‌آوری می‌کند

ExpressVPN داده‌های تجمیعی اتصال را جمع‌آوری می‌کند: نسخه برنامه‌ای که استفاده می‌کنید، مکان سروری که انتخاب کرده‌اید (نه سرور مشخص) و کل پهنای باند مصرفی در هر روز. این داده‌ها نمی‌توانند کاربران فردی را شناسایی کنند یا فعالیت را به حساب‌های خاص مرتبط کنند. این سرویس از این اطلاعات برای حفظ ظرفیت سرورها استفاده می‌کند.

ایمیل حساب، اطلاعات پرداخت و تاریخچه تیکت‌های پشتیبانی شما برای مقاصد صورتحساب ذخیره می‌شوند. کاربرانی که حداکثر ناشناس بودن را می‌خواهند می‌توانند با بیت‌کوین پرداخت کنند یا از یک آدرس ایمیل موقت استفاده کنند.

استانداردهای رمزنگاری و پروتکل‌ها

ExpressVPN از رمزنگاری AES-256-GCM به‌عنوان استاندارد پیش‌فرض خود استفاده می‌کند. AES-256 همچنین رمز متقارن مشخص‌شده در مجموعه الگوریتم CNSA 2.0 آژانس امنیت ملی آمریکا (NSA)[4] برای سیستم‌های امنیت ملی است.

پروتکل‌های موجود

ExpressVPN در برنامه‌های خود ۴ پروتکل VPN ارائه می‌دهد. Lightway پروتکل اختصاصی آن است که بر پایه wolfSSL ساخته شده و از رمزنگاری ChaCha20 یا AES-256 استفاده می‌کند. OpenVPN روی UDP و TCP با AES-256-GCM اجرا می‌شود. IKEv2/IPSec در پلتفرم‌های منتخب برای اتصالات سریع موبایل در دسترس است.

Lightway شایسته توجه ویژه است. ExpressVPN گفته کد آن بسیار کوچک‌تر از OpenVPN است و کدبیس کوچک‌تر سطح کمتری برای حسابرسی دارد. Cure53 و Praetorian بازنویسی Rust سال ۲۰۲۴ از Lightway را حسابرسی کردند و ExpressVPN کد آن را متن‌باز منتشر کرد.

محرمانگی پیشرو کامل (Perfect Forward Secrecy)

ExpressVPN می‌گوید برای هر نشست اتصال، یک کلید رمزنگاری جدید مذاکره می‌کند، بنابراین به خطر افتادن یک کلید نشست، نشست‌های قبلی را افشا نمی‌کند.

کill switch و محافظت در برابر نشت DNS

ExpressVPN کill switch خود را «Network Lock» می‌نامد. این قابلیت به‌صورت پیش‌فرض در Windows، Mac، Linux و روترها فعال است. Network Lock در صورت قطع غیرمنتظره اتصال VPN، تمام ترافیک اینترنت را مسدود می‌کند.

Network Lock در سطح فایروال کار می‌کند، نه در سطح برنامه. این رویکرد از نشت در بازه‌های کوتاه اتصال مجدد جلوگیری می‌کند، بازه‌هایی که کill switchهای سطح برنامه اغلب از آن غافل می‌مانند. تنها ترافیکی که از تونل VPN عبور می‌کند و به سرورهای DNS ExpressVPN می‌رود مجاز است.

ExpressVPN روی هر سرور DNS خصوصی و رمزنگاری‌شده خود را اجرا می‌کند. پرس‌وجوهای DNS شما هرگز به ارائه‌دهندگان DNS شخص ثالث مانند Google یا Cloudflare نمی‌رسند. این موضوع خطر نشت DNS را در سطح زیرساخت حذف می‌کند، به‌جای اتکا به وصله‌های نرم‌افزاری.

ابزارهای تست مستقل به‌طور مداوم صفر نشت DNS، صفر نشت WebRTC و صفر نشت IPv6 را در برنامه‌های اصلی ExpressVPN نشان می‌دهند. فرمware روتر این محافظت را به هر دستگاهی در شبکه شما گسترش می‌دهد.

رویدادهای امنیتی گذشته

هیچ محصول امنیتی بدون بررسی دقیق وجود ندارد. ExpressVPN با دو رویداد قابل توجه روبه‌رو شده که ارزش بررسی دارند.

توقیف سرور در ترکیه (۲۰۱۷)

مقامات ترکیه که ترور سفیر روسیه، آندری کارلوف، را بررسی می‌کردند، در ژانویه ۲۰۱۷ یک سرور ExpressVPN را توقیف کردند؛ طبق گزارش‌ها[1]، دلیل آن این بود که حساب‌های Gmail و Facebook ترورکننده از طریق اتصال ExpressVPN به‌صورت راه‌دور حذف شده بودند. طبق گزارش، بازرسی هیچ اطلاعات مفیدی به دست نداد. این ماجرا در دسامبر ۲۰۱۷ عمومی شد.

خرید Kape Technologies (۲۰۲۱)

Kape Technologies ExpressVPN را[5] در سال ۲۰۲۱ حدود ۹۳۶ میلیون دلار خرید. Kape پیش‌تر با نام Crossrider فعالیت می‌کرد، شرکتی که پیش از تغییر نام، با توزیع تبلیغ‌افزار مرتبط بود، و این خرید نگرانی حامیان حریم خصوصی را برانگیخت.

ExpressVPN از آن زمان حسابرسی‌های اطمینان بیشتری از جمله ارزیابی KPMG از فوریه ۲۰۲۵ را سفارش داده است، هرچند آن بررسی نقطه‌ای است. کاربران باید حسابرسی‌های آینده را دنبال کنند تا مطمئن شوند کنترل‌ها همچنان برقرار هستند.

ویژگی‌های امنیتی متمایز

ExpressVPN چند ویژگی امنیتی ارائه می‌دهد که آن را از رقبایی با استانداردهای رمزنگاری مشابه متمایز می‌کند.

فناوری TrustedServer

هر سرور ExpressVPN کاملاً روی RAM فرار اجرا می‌شود، نه روی هارد دیسک. سرورها در هر راه‌اندازی یک تصویر فقط‌خواندنی بارگذاری می‌کنند. تمام داده‌ها با هر راه‌اندازی مجدد سرور به‌طور کامل پاک می‌شوند. این معماری ذخیره‌سازی ماندگار داده را در سرورهای VPN از نظر فیزیکی غیرممکن می‌کند.

Threat Manager

Threat Manager از ارتباط برنامه‌ها و وب‌سایت‌ها با ردیاب‌های شناخته‌شده و سرورهای مخرب جلوگیری می‌کند. این قابلیت در سطح DNS روی همه دستگاه‌های متصل عمل می‌کند. ExpressVPN فهرست‌های مسدودسازی خود را بر اساس داده‌های اطلاعاتی تهدید به‌طور منظم به‌روزرسانی می‌کند.

Express Keys (مدیر رمز عبور)

ExpressVPN یک مدیر رمز عبور داخلی به نام Keys را با همه اشتراک‌ها ارائه می‌دهد. Keys از رمزنگاری بدون دانش (zero-knowledge) استفاده می‌کند، یعنی ExpressVPN به رمزهای ذخیره‌شده شما دسترسی ندارد. این یکپارچگی ارزش امنیتی عملی فراتر از خود تونل VPN ایجاد می‌کند.

محافظت پساکوانتومی

ExpressVPN می‌گوید پشتیبانی از رمزنگاری پساکوانتومی را در پروتکل Lightway پیاده‌سازی کرده است، با هدف مقابله با رایانه‌های کوانتومی آینده که می‌توانند روش‌های تبادل کلید امروزی را بشکنند. ما آن را به‌طور مستقل آزمایش نکرده‌ایم.

منابع

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. بازیابی‌شده در ۱۸ اکتبر ۲۰۲۶ از https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.بایگانی شده: نسخهٔ بایگانی‌شده در Wayback Machine
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. بازیابی‌شده در ۱۸ اکتبر ۲۰۲۶ از https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. بی‌تاریخ. Cure53 – Security assessments for software that matters. بازیابی‌شده در ۱۸ اکتبر ۲۰۲۶ از https://cure53.de/.بایگانی شده: نسخهٔ بایگانی‌شده در Wayback Machine
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.بایگانی شده: نسخهٔ بایگانی‌شده در Wayback Machine
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.بایگانی شده: نسخهٔ بایگانی‌شده در Wayback Machine

منابع این صفحه

نمودارها و تصاویر مرجع از تحقیقات ما، برای مشاهده و اشتراک‌گذاری رایگان.

• 

• امنیت ExpressVPNPDF · 0.7 MB

پرسش‌های متداول

همهایمنی و حریم خصوصینحوه کارراه‌اندازی و پشتیبانی

آیا استفاده از ExpressVPN به‌طور کلی امن است؟

بله. ExpressVPN امتیاز اعتماد 88/۱۰۰ را دارد که با رمزنگاری AES-256، زیرساخت TrustedServer مبتنی بر RAM و سیاست سخت‌گیرانه عدم ثبت داده پشتیبانی می‌شود؛ این سیاست با گزارش اطمینان KPMG Type 1 از فوریه ۲۰۲۵ پوشش داده شده است (اطمینان معقول، بدون شناسایی مشکل در تدابیر جلوگیری از ثبت فعالیت). این سرویس در جزایر ویرجین بریتانیا ثبت شده و خارج از اتحادهای نظارتی ۱۴ Eyes است. ExpressVPN می‌گوید ادعای عدم ثبت داده‌اش در سال ۲۰۱۷، زمانی که مقامات ترکیه یک سرور را توقیف کردند، پابرجا ماند و بازرسی هیچ اطلاعات مفیدی به دست نداد.

چرا صلاحیت قضایی جزایر ویرجین بریتانیا برای حریم خصوصی کاربران اهمیت دارد؟

جزایر ویرجین خارج از اتحادهای اطلاعاتی ۵، ۹ و ۱۴ Eyes قرار دارند و ExpressVPN گفته است که تنها به دستورهای قضایی محلی پاسخ می‌دهد. این موضع در سال ۲۰۱۷ آزمایش شد، زمانی که مقامات ترکیه یک سرور را در یک تحقیق توقیف کردند؛ بازرسی طبق گزارش‌ها هیچ اطلاعات مفیدی به دست نداد.

حسابرسی‌های مستقل واقعاً چه چیزی را درباره ExpressVPN تأیید کرده‌اند؟

KPMG از ۲۸ فوریه ۲۰۲۵، طبق ISAE (UK) 3000 Type 1، اطمینان معقول درباره TrustedServer و ادعاهای سیاست حریم خصوصی ExpressVPN ارائه داد. این ارزیابی توسط ExpressVPN سفارش داده شده و نقطه‌ای در زمان است، نه پایش مداوم. Cure53 بسیاری از گزارش‌های pentest مربوط به ExpressVPN را در سایت خود فهرست کرده، و Cure53 و Praetorian در سال ۲۰۲۴ بازنویسی Rust از Lightway را حسابرسی کردند.

اگر ExpressVPN فعالیت را ثبت نمی‌کند، در واقع چه داده‌هایی جمع‌آوری می‌کند؟

ExpressVPN تاریخچه مرور، آدرس‌های IP، پرس‌وجوهای DNS یا زمان‌های اتصال را ذخیره نمی‌کند. داده‌های تجمیعی بدون ارتباط با حساب‌های فردی را جمع‌آوری می‌کند: نسخه برنامه، مکان کلی سرور انتخاب‌شده و کل پهنای باند روزانه مصرفی، صرفاً برای مدیریت ظرفیت سرورها. جزئیات صورتحساب مانند ایمیل و روش پرداخت جداگانه نگهداری می‌شوند؛ استفاده از بیت‌کوین یا یک ایمیل موقت این ردپا را بیشتر محدود می‌کند.

پروتکل Lightway ExpressVPN از نظر امنیت در مقایسه با OpenVPN چگونه است؟

Lightway پروتکل اختصاصی ExpressVPN است که بر پایه wolfSSL ساخته شده و کدبیس آن، به گفته ExpressVPN، بسیار کوچک‌تر از OpenVPN است و کد کمتری برای حسابرسی دارد. از رمزنگاری ChaCha20 یا AES-256 پشتیبانی می‌کند و Cure53 و Praetorian بازنویسی Rust آن را در سال ۲۰۲۴ حسابرسی کردند.

آیا کill switch ExpressVPN واقعاً در صورت قطع اتصال از نشت جلوگیری می‌کند؟

بله. کill switch ExpressVPN که Network Lock نام دارد، به‌صورت پیش‌فرض در Windows، Mac، Linux و روترها فعال است و در سطح فایروال کار می‌کند، نه سطح برنامه؛ این کار بازه‌های کوتاه اتصال مجدد را می‌بندد که کill switchهای سطح برنامه اغلب از آن غافل می‌مانند. همه ترافیک را جز از طریق تونل VPN و سرورهای DNS خصوصی ExpressVPN مسدود می‌کند، و می‌توانید با یک تست نشت تأیید کنید که نشت DNS، WebRTC یا IPv6 وجود ندارد.

آیا باید نگران مالکیت Kape Technologies بر ExpressVPN باشم؟

این پرسشی مشروع و قابل فهم است، اما مانعی جدی محسوب نمی‌شود. Kape در سال ۲۰۲۱ ExpressVPN را به گزارش حدود ۹۳۶ میلیون دلار خرید و پیش‌تر با نام Crossrider فعالیت می‌کرد، شرکتی که با تبلیغ‌افزار مرتبط بود. از زمان خرید، ExpressVPN صلاحیت قضایی جزایر ویرجین را حفظ کرده و یک ارزیابی KPMG از فوریه ۲۰۲۵ سفارش داده است، اما آن ارزیابی نقطه‌ای در زمان است، پس حسابرسی‌های آینده را دنبال کنید.

محافظت پساکوانتومی چیست و آیا ExpressVPN واقعاً آن را دارد؟

رمزنگاری پساکوانتومی ترافیک رمزنگاری‌شده را در برابر رایانه‌های کوانتومی آینده‌ای محافظت می‌کند که به اندازه کافی قدرتمند باشند تا استانداردهای فعلی مانند AES-256 را بشکنند. ExpressVPN می‌گوید پشتیبانی از محافظت پساکوانتومی را در پروتکل Lightway خود پیاده‌سازی کرده است. این قابلیت در کنار محرمانگی پیشرو کامل کار می‌کند که کلیدهای نشست تازه تولید می‌کند.

اگر ویژگی‌های امنیتی انتظارات را برآورده نکنند، سیاست بازپرداخت ExpressVPN چیست؟

ExpressVPN برای هر طرح یک ضمانت بازگشت وجه 30 روزه ارائه می‌دهد که به شما یک ماه کامل فرصت می‌دهد قبل از تعهد، Network Lock، محافظت در برابر نشت DNS و معماری مبتنی بر RAM در TrustedServer را آزمایش کنید. این ضمانت با دوره بازگشت وجه NordVPN و ProtonVPN برابری می‌کند، بنابراین آزمایش ادعاهای عدم ثبت داده در آن بازه هیچ ریسک مالی ندارد.

یک حساب ExpressVPN هم‌زمان از چند دستگاه محافظت می‌کند؟

ExpressVPN بسته به سطح طرح انتخابی، ۱۰ تا ۱۴ اتصال همزمان دستگاه را پوشش می‌دهد. همه دستگاه‌های متصل از حفاظت‌های یکسانی برخوردارند: رمزنگاری AES-256، کill switch سطح فایروال Network Lock و سرورهای DNS خصوصی ExpressVPN؛ بنابراین خانواده‌ای با چند تلفن، لپ‌تاپ و یک روتر، با یک اشتراک تحت پوشش قرار می‌گیرد.

چگونه می‌توانم مطمئن شوم محافظت ExpressVPN در برابر نشت DNS روی دستگاهم واقعاً کار می‌کند؟

ExpressVPN روی هر سرور DNS خصوصی و رمزنگاری‌شده خود را اجرا می‌کند، بنابراین پرس‌وجوهای شما هرگز از طریق ارائه‌دهندگان شخص ثالث مانند Google یا Cloudflare مسیریابی نمی‌شوند. هنگام اتصال، با یک بررسی‌گر نشت DNS تست نشت انجام دهید و تأیید کنید که نتایج فقط سرورهای DNS خود ExpressVPN را نشان می‌دهند، نه DNS ISP شما.

اگر ExpressVPN ناگهان قطع شود، ترافیک من چه می‌شود؟

Network Lock، کill switch ExpressVPN، بلافاصله پس از قطع اتصال VPN، تمام ترافیک اینترنت را مسدود می‌کند، زیرا در سطح فایروال کار می‌کند، نه سطح برنامه. این کار بازه‌های کوتاه اتصال مجدد را می‌بندد که در آن کill switchهای سطح برنامه در سرویس‌های دیگر ممکن است IP واقعی شما را نشت دهند. این قابلیت به‌صورت پیش‌فرض در نصب‌های Windows، Mac، Linux و روتر فعال است.

آیا امنیت قوی ExpressVPN به قیمت کاهش سرعت تمام می‌شود؟

نه به‌طور قابل توجه. ExpressVPN در امتیاز اعتماد ما که از آزمایش‌های منتشرشده شخص ثالث جمع‌بندی شده، رتبه #2 از 22 را دارد، با وجود اجرای رمزنگاری کامل AES-256 و معماری RAM-only TrustedServer روی هر اتصال. کدبیس Lightway که ExpressVPN می‌گوید بسیار کوچک‌تر از OpenVPN است، برای جبران بخشی از سربار ناشی از ویژگی‌های امنیتی سنگین‌تر بر توان عملیاتی طراحی شده است.