آیا ExpressVPN ایمن است؟ تجزیه و تحلیل امنیت، حریم خصوصی و حسابرسی

آیا ExpressVPN ایمن است؟ تحلیل عمیق امنیتی

ExpressVPN بر اساس حسابرسی‌های مستقل تأیید شده عدم ثبت، رمزنگاری AES-256 و سرورهای فقط RAM در 105 کشور، امتیاز اعتماد 85/100 را کسب می‌کند. این شرکت تحت حوزه قضایی جزایر باکو بریتانیایی عمل می‌کند، خارج از اتحادهای نظارتی 14 Eyes. حسابرسی‌های مستقل متعدد توسط KPMG و Cure53 تایید می‌کنند که ادعاهای عدم ثبت آن در مقابل بررسی‌های دقیق پایدار است.

حوزه قضایی: چرا جزایر باکو بریتانیایی مهم است

ExpressVPN در جزایر باکو بریتانیایی، یک سرزمین خود‌مختار بریتانیایی فراموی‌بر، تأسیس شده است. BVI هیچ قانون حفظ اطلاعات اجباری برای ارائه‌دهندگان VPN ندارد. این یک واقعیت تنها، نحوه پاسخ ExpressVPN به درخواست‌های اطلاعات دولتی را تعیین می‌کند.

BVI خارج از اتحادهای اطلاعاتی 5 Eyes، 9 Eyes و 14 Eyes قرار دارد. درخواست‌های دولت خارجی باید پیش از رسیدن به ExpressVPN از دادگاه عالی BVI عبور کند. BVI هیچ تعهد قانونی برای احترام به فرامین خارجی یا دستورات نظارتی مستقیم ندارد.

این مزیت حوزه قضایی در سال 2017 واقعی اثابت شد. مقامات ترکیه یک سرور ExpressVPN را در یک تحقیق سیاسی توقیف کردند. سرور شامل صفر اطلاعات کاربر بود، و سیاست عدم ثبت را تحت فشار حقیقی دولتی تأیید کرد.

تاریخ حسابرسی مستقل

ExpressVPN حسابرسی‌های امنیتی شخص ثالث بیشتری را نسبت به بیشتر رقابا انجام داده است. هر حسابرسی جنبه‌های متفاوتی از ادعاهای حریم خصوصی و امنیتی سرویس را بررسی کرد.

حسابرسی‌های عدم ثبت KPMG

KPMG سیاست عدم ثبت ExpressVPN را در سال 2022 و دوباره در سال 2024 حسابرسی کرد. هر دو حسابرسی تأیید کردند که فناوری TrustedServer شرکت هیچ گاه فعالیت، اتصال و نشانی IP را ثبت نمی‌کند. KPMG سرورهای تولیدی و سیستم‌های داخلی را برای تایید این ادعاها به‌صورت مستقل آزمایش کرد.

حسابرسی‌های امنیتی Cure53

Cure53، یک شرکت معتبر سایبری آلمانی، چندین بار ExpressVPN را حسابرسی کرده است. در سال 2019، Cure53 افزونه‌های مرورگر را بررسی کرد و هیچ آسیب‌پذیری شدید یافت نشد. آنها در سال 2021 پروتکل Lightway را حسابرسی کردند و پیاده‌سازی رمزنگاری آن را تأیید کردند. حسابرسی سال 2022 زیرساخت TrustedServer را بررسی کرد و آن را قوی ارزیابی کرد.

حسابرسی PwC

PricewaterhouseCoopers حسابرسی عدم ثبت اولیه‌ای را در سال 2019 انجام داد. PwC تأیید کرد که پیکربندی سرور ExpressVPN با سیاست حریم خصوصی عمومی آن مطابقت دارد. این یکی از اولین حسابرسی‌های اصلی بود که ExpressVPN انجام داد.

ExpressVPN خلاصه‌ای از تمام نتایج حسابرسی را در وب‌سایت خود منتشر می‌کند. گزارش‌های کامل Cure53 به‌طور عمومی در دسترس هستند، که شفافیت بالاتر از متوسط صنعت VPN را نشان می‌دهد.

سیاست ثبت: چه چیزی ذخیره می‌شود و چه چیزی نه

سیاست حریم خصوصی ExpressVPN به وضوح بیان می‌کند که چه داده‌هایی را جمع می‌کند. درک جزئیات بیش از ادعاهای بازاریابی مهم است.

داده‌هایی که ExpressVPN ثبت نمی‌کند

ExpressVPN تاریخچه مرور، مقصد ترافیک، پرس‌وجوی DNS یا نشانی IP شما را ثبت نمی‌کند. زمان‌های اتصال، مدت جلسه یا نشانی IP VPN اختصاص‌یافته را ثبت نمی‌کند. هیچ محتوایی از ارتباطات شما از طریق هیچ سیستم ثبتی عبور نمی‌کند.

داده‌هایی که ExpressVPN جمع می‌کند

ExpressVPN داده اتصال کل را جمع می‌کند: نسخه برنامه‌ای که استفاده می‌کنید، مکان سرویس‌دهنده‌ای که انتخاب کردید (نه سرور خاص)، و کل پهنای باند مصرف‌شده در روز. این داده نمی‌تواند کاربران فردی را شناسایی کند یا فعالیت را به حساب‌های خاص مرتبط کند. این را برای حفظ ظرفیت سرور در شبکه 3000+ سرویس‌دهنده‌اش استفاده می‌کند.

ایمیل حساب، اطلاعات پرداخت و تاریخچه تیکت پشتیبانی برای اهداف صورت‌حساب ذخیره می‌شود. کاربرانی که می‌خواهند حداکثر ناشناس بمانند می‌توانند با Bitcoin پرداخت کنند یا از یک نشانی ایمیل یکبار‌مصرف استفاده کنند.

استانداردهای رمزنگاری و پروتکل‌ها

ExpressVPN از رمزنگاری AES-256-GCM به‌عنوان استاندارد پیش‌فرض خود استفاده می‌کند. این سطح رمزنگاری یکسان است که توسط دولت ایالات متحده برای اطلاعات طبقه‌بندی‌شده استفاده می‌شود. شکستن AES-256 نیاز به قدرت محاسباتی دارد که فعلاً وجود ندارد.

پروتکل‌های دستیاب

ExpressVPN 4 پروتکل VPN را در کل برنامه‌های خود ارائه می‌دهد. Lightway پروتکل اختصاصی آن است، که بر wolfSSL ساخته شده و از رمزنگاری ChaCha20 یا AES-256 استفاده می‌کند. OpenVPN بر روی UDP و TCP با AES-256-GCM اجرا می‌شود. IKEv2/IPSec برای سرعت اتصالات موبایلی در پلتفرم‌های انتخاب‌شده در دسترس است.

Lightway سزاوار توجه خاص است. کدبیس آن شامل تقریباً 2,000 خط کد است، در مقایسه با OpenVPN 70,000+ خط. کد کمتر به معنای آسیب‌پذیری‌های احتمالی کمتر و زمان اتصال سریع‌تر زیر 1 ثانیه است. Cure53 کد منبع Lightway را حسابرسی کرد، که ExpressVPN به‌عنوان منبع باز روی GitHub منتشر کرد.

حریم خصوصی بی‌نظیر رو به جلو

ExpressVPN برای هر جلسه اتصال یک کلید رمزنگاری جدید توافق می‌کند. اگر یک مهاجم به‌نحوی یک کلید جلسه را به‌خطر انداخت، جلسات گذشته و آینده محافظت می‌شوند. این ویژگی رمزگشایی بزرگ رجعی ترافیک ضبط‌شده را از بین می‌برد.

Kill Switch و محافظت از نشت DNS

ExpressVPN، kill switch خود را “Network Lock” می‌نامد. این به‌طور پیش‌فرض بر Windows، Mac، Linux و روترها فعال می‌شود. Network Lock تمام ترافیک اینترنت را در صورت قطع غیرمنتظره اتصال VPN مسدود می‌کند.

Network Lock در سطح دیوار آتش کار می‌کند، نه سطح برنامه. این روش باعث جلوگیری از نشت‌ها در پنجره‌های بازاتصال مختصری می‌شود که kill switch‌های سطح برنامه اغلب از دست می‌دهند. این فقط ترافیک از طریق تونل VPN و سرور‌های DNS ExpressVPN را مجاز می‌کند.

ExpressVPN DNS خصوصی رمزنگاری‌شده خود را بر روی هر سرور اجرا می‌کند. پرس‌وجوی DNS شما هرگز به ارائه‌دهندگان DNS شخص ثالث مانند Google یا Cloudflare دست نمی‌رسد. این خطر نشت DNS را در سطح زیرساخت حذف می‌کند تا بر تکیه بر رقعه‌های نرم‌افزاری.

ابزارهای تست مستقل به‌طور مداوم صفر نشت DNS، صفر نشت WebRTC و صفر نشت IPv6 را در تمام برنامه‌های اصلی ExpressVPN نشان می‌دهند. فناوری روتر حفاظت را برای هر دستگاه در شبکه خود گسترش می‌دهد.

حوادث امنیتی قبلی

هیچ محصول امنیتی بدون بررسی وجود ندارد. ExpressVPN با دو حادثه قابل توجه روبرو شده که شایسته بررسی است.

توقیف سرور ترکیه (2017)

مقامات ترکیه تحقیق در مورد ترور سفیر روسی آندری کارلوف را انجام دادند. آنها یک سرور ExpressVPN را برای یافتن ارتباطات مظنون توقیف کردند. سرور شامل صفر داده قابل استفاده بود، و زیرساخت عدم ثبت را تحت فشار واقعی اجرای قانون تایید کرد.

خریداری Kape Technologies (2021)

Kape Technologies در سپتامبر 2021 ExpressVPN را برای تقریباً 936 میلیون دلار خریداری کرد. Kape قبلاً به‌عنوان Crossrider عمل می‌کرد، شرکتی که با توزیع adware پیش از تغییرنام مرتبط بود. این خریداری نگرانی‌های مشروع را میان طرفداران حریم خصوصی برانگیخت.

ExpressVPN با حفظ عملیات مستقل و حوزه قضایی BVI پاسخ داد. حسابرسی‌های KPMG پس از خریداری در سال 2022 و 2024 تأیید کردند که سیاست عدم ثبت دست نخورده باقی مانده است. شرکت تیم رهبری خود را حفظ کرد و به انتشار شفاف نتایج حسابرسی ادامه داد. کاربران باید حسابرسی‌های آینده را نظارت کنند تا استقلال مداوم را تایید کنند.

ویژگی‌های امنیتی منحصر به فرد

ExpressVPN چندین ویژگی امنیتی را ارائه می‌دهد که آن را از رقابای دارای استانداردهای رمزنگاری مشابه متمایز می‌کند.

فناوری TrustedServer

هر سرور ExpressVPN به‌طور کامل بر روی RAM فرار، نه درایوهای سخت، اجرا می‌شود. سرورها یک تصویر فقط‌خواندنی را در هر بوت بارگذاری می‌کنند. تمام داده‌ها با هر بوت سرور به‌طور کامل پاک می‌شوند. این معماری ذخیره سازی داده دائمی را روی سرورهای VPN غیر‌ممکن می‌کند.

Threat Manager

Threat Manager برنامه‌ها و وب‌سایت‌ها را از ارتباط با ردیابان و سرورهای مخرب شناخت‌شده مسدود می‌کند. این در سطح DNS در تمام دستگاه‌های متصل کار می‌کند. ExpressVPN فهرست‌های مسدود خود را به‌طور منظم بر اساس داده‌های اطلاعات تهدید به‌روزرسانی می‌کند.

Express Keys (مدیر رمز عبور)

ExpressVPN یک مدیر رمز عبور داخلی به نام Keys را با تمام اشتراک‌ها جمع‌آوری می‌کند. Keys از رمزنگاری بدون معرفت استفاده می‌کند، به این معنی که ExpressVPN نمی‌تواند به رمزهای عبور ذخیره‌شده شما دسترسی داشته باشد. این یکپارچگی مقدار عملی امنیتی را فراتر از تونل VPN خود می‌افزاید.

حفاظت پس از کوانتوم

ExpressVPN پشتیبانی رمزنگاری پس از کوانتوم را در پروتکل Lightway خود پیاده‌سازی کرد. این ویژگی در برابر حملات کوانتومی آینده محافظت می‌کند که می‌توانند استانداردهای رمزنگاری کنونی را شکند. تعداد کمی از ارائه‌دهندگان VPN این حفاظت را تا آزمایش کنونی پیاده‌سازی کرده‌اند.

سؤالات متکرر

آیا ExpressVPN گزارش‌ها را حفظ می‌کند؟

ExpressVPN فعالیت، اتصال، نشانی IP یا تاریخچه مرور را حفظ نمی‌کند. این داده کل حداقلی مانند نسخه برنامه و انتخاب مکان سرویس‌دهنده را برای نگهداری شبکه جمع می‌کند. حسابرسی‌های KPMG و PwC این ادعاهای عدم ثبت را در چندین سال مستقل تایید کرده‌اند.

آیا ExpressVPN هک شده است؟

ExpressVPN یک نقض اطلاعات تأیید‌شده را که اطلاعات کاربر را تحت‌الشعاع قرار دهد، متحمل نشده است. توقیف سرور ترکیه 2017 اثابت کرد که سیستم عدم ثبت کار می‌کند زیرا مقامات صفر داده کاربر را بازیافتند. معماری RAM تنهای TrustedServer تأثیر هرگونه به‌خطر سرور فیزیکی احتمالی را محدود می‌کند.

آیا ExpressVPN قابل اعتماد است؟

ExpressVPN از طریق 5+ حسابرسی مستقل، کد پروتکل باز منبع و حادثه عدم ثبت تأیید‌شده، قابلیت اعتماد را نشان می‌دهد. مالکیت Kape Technologies سؤالات معتبری را برانگیخته است که کاربران باید به‌طور فردی وزن‌های کنند. ضمانت بازپرداخت 30 روزه کاربران را به‌گونه‌ای اجازه می‌دهد تا سرویس را با خطر مالی حداقل آزمایش کنند.

آیا ExpressVPN می‌تواند داده‌های من را ببیند؟

ExpressVPN نمی‌تواند داده مرور شما را بر سبب رمزنگاری انتهایی AES-256 در تونل VPN ببیند. زیرساخت TrustedServer از نوشتن داده به دیسک روی هر سرور جلوگیری می‌کند. حتی اگر توسط دادرسی، ExpressVPN هیچ داده فعالیت کاربر ذخیره‌شده برای تحویل ندارد.