Apakah ExpressVPN Aman? Analisis Keamanan, Privasi & Audit

Apakah ExpressVPN Aman? Pembahasan Keamanan Mendalam

ExpressVPN memperoleh skor kepercayaan 88/100 berdasarkan laporan jaminan tanpa-log dari KPMG yang dipublikasikan, enkripsi AES-256, dan server berbasis RAM di 113 negara. Layanan ini beroperasi di bawah yurisdiksi Kepulauan Virgin Britania Raya, di luar aliansi pengawasan 14 Eyes. Laporan jaminan KPMG dan audit keamanan Cure53 yang berulang mendukung klaim privasi dan keamanannya, dalam batas yang dijelaskan di bawah ini.

Yurisdiksi: Mengapa Kepulauan Virgin Britania Raya Penting

ExpressVPN didirikan di Kepulauan Virgin Britania Raya, wilayah seberang laut yang memerintah sendiri di bawah Britania Raya, dan BVI berada di luar aliansi berbagi intelijen 5 Eyes, 9 Eyes, dan 14 Eyes. Kami tidak menemukan sumber primer untuk aturan retensi data VPN di BVI, sehingga kami tidak mengklaimnya. TorrentFreak melaporkan[1] bahwa ExpressVPN hanya menanggapi perintah pengadilan setempat.

Ujian praktisnya terjadi pada 2017. Pihak berwenang Turki menyita server ExpressVPN dalam sebuah penyelidikan. Menurut laporan tersebut, pemeriksaan tidak menghasilkan informasi yang berguna, dan ExpressVPN menyatakan bahwa mereka telah memberi tahu penyidik bahwa mereka tidak pernah memiliki log koneksi pelanggan.

Riwayat Audit Independen

ExpressVPN telah menyelesaikan lebih banyak audit keamanan pihak ketiga dibandingkan kebanyakan pesaingnya. Setiap audit memeriksa aspek berbeda dari klaim privasi dan keamanan layanan.

Laporan Jaminan Tanpa-Log KPMG

KPMG LLP memberikan jaminan yang wajar, berdasarkan ISAE (UK) 3000 Tipe 1, atas sistem TrustedServer ExpressVPN dan klaim kebijakan privasinya per 28 Februari 2025[2], dan ExpressVPN menyatakan tidak menemukan masalah terkait perlindungan teknis terhadap pencatatan aktivitas. Ini adalah laporan titik-waktu yang ditugaskan oleh ExpressVPN, bukan pemantauan berkelanjutan, dan dapat dibaca setelah menerima ketentuan KPMG. ExpressVPN menyebutnya sebagai penilaian KPMG kedua mereka.

Audit Keamanan Cure53

Cure53, sebuah firma keamanan siber Jerman, mencantumkan banyak laporan pentest ExpressVPN dalam daftar laporan publiknya[3], termasuk protokol Lightway (2022 serta Oktober hingga November 2024), firmware router Aircove (November 2024), ekstensi browser, dan klien Android, iOS, Linux, serta macOS. Pada musim gugur 2024, Cure53 dan Praetorian keduanya mengaudit versi ulang Lightway berbasis Rust milik ExpressVPN. Kami belum memeriksa ulang jumlah tingkat keparahan dalam setiap laporan, jadi bacalah laporannya untuk mengetahui temuannya.

Cure53 mempublikasikan laporannya sendiri untuk ExpressVPN secara terbuka, yang merupakan sinyal transparansi di industri VPN, meskipun setiap pekerjaan ditugaskan oleh ExpressVPN.

Kebijakan Pencatatan: Apa yang Disimpan dan Apa yang Tidak

Kebijakan privasi ExpressVPN dengan jelas menyatakan data apa yang dikumpulkannya. Memahami rinciannya lebih penting daripada klaim pemasaran.

Data yang TIDAK Disimpan ExpressVPN

ExpressVPN tidak mencatat riwayat penjelajahan, tujuan lalu lintas, kueri DNS, atau alamat IP Anda. Layanan ini tidak merekam stempel waktu koneksi, durasi sesi, atau alamat IP VPN yang ditetapkan. Tidak ada isi komunikasi Anda yang melewati sistem pencatatan apa pun.

Data yang DIKUMPULKAN ExpressVPN

ExpressVPN mengumpulkan data koneksi agregat: versi aplikasi yang Anda gunakan, lokasi server yang Anda pilih (bukan server spesifik), dan total bandwidth yang digunakan per hari. Data ini tidak dapat mengidentifikasi pengguna individual atau menghubungkan aktivitas ke akun tertentu. Layanan ini menggunakan informasi tersebut untuk menjaga kapasitas server.

Email akun, informasi pembayaran, dan riwayat tiket dukungan Anda disimpan untuk keperluan penagihan. Pengguna yang menginginkan anonimitas maksimal dapat membayar dengan Bitcoin atau menggunakan alamat email sekali pakai.

Standar Enkripsi dan Protokol

ExpressVPN menggunakan enkripsi AES-256-GCM sebagai standar bawaannya. AES-256 juga merupakan cipher simetris yang ditetapkan dalam rangkaian algoritma CNSA 2.0 milik NSA[4] untuk sistem keamanan nasional.

Protokol yang Tersedia

ExpressVPN menawarkan 4 protokol VPN di seluruh aplikasinya. Lightway adalah protokol proprietarinya, dibangun di atas wolfSSL dan menggunakan enkripsi ChaCha20 atau AES-256. OpenVPN berjalan melalui UDP dan TCP dengan AES-256-GCM. IKEv2/IPSec tersedia di platform tertentu untuk koneksi seluler yang cepat.

Lightway layak mendapat perhatian khusus. ExpressVPN menyatakan basis kodenya jauh lebih kecil daripada OpenVPN, dan basis kode yang lebih kecil menawarkan lebih sedikit permukaan untuk diaudit. Cure53 dan Praetorian mengaudit versi ulang Lightway berbasis Rust tahun 2024, dan ExpressVPN mempublikasikan kodenya sebagai open source.

Perfect Forward Secrecy

ExpressVPN menyatakan bahwa mereka menegosiasikan kunci enkripsi baru untuk setiap sesi koneksi, sehingga kompromi satu kunci sesi tidak mengekspos sesi sebelumnya.

Kill Switch dan Perlindungan Kebocoran DNS

ExpressVPN menyebut kill switch-nya “Network Lock.” Fitur ini aktif secara default di Windows, Mac, Linux, dan router. Network Lock memblokir semua lalu lintas internet jika koneksi VPN terputus secara tidak terduga.

Network Lock bekerja di tingkat firewall, bukan tingkat aplikasi. Pendekatan ini mencegah kebocoran selama jeda singkat penyambungan ulang yang sering terlewat oleh kill switch tingkat aplikasi. Fitur ini hanya mengizinkan lalu lintas melalui terowongan VPN dan ke server DNS ExpressVPN.

ExpressVPN menjalankan DNS pribadi terenkripsi miliknya sendiri di setiap server. Kueri DNS Anda tidak pernah menyentuh penyedia DNS pihak ketiga seperti Google atau Cloudflare. Ini menghilangkan risiko kebocoran DNS di tingkat infrastruktur alih-alih bergantung pada patch perangkat lunak.

Alat pengujian independen secara konsisten menunjukkan nol kebocoran DNS, nol kebocoran WebRTC, dan nol kebocoran IPv6 di aplikasi utama ExpressVPN. Firmware router memperluas perlindungan ini ke setiap perangkat di jaringan Anda.

Insiden Keamanan di Masa Lalu

Tidak ada produk keamanan yang lepas dari pengawasan. ExpressVPN pernah menghadapi dua insiden penting yang layak diteliti.

Penyitaan Server di Turki (2017)

Pihak berwenang Turki yang menyelidiki pembunuhan Duta Besar Rusia Andrei Karlov menyita server ExpressVPN pada Januari 2017, menurut laporan[1], karena akun Gmail dan Facebook sang pembunuh telah dihapus dari jarak jauh melalui koneksi ExpressVPN. Laporan tersebut menyatakan pemeriksaan tidak menghasilkan informasi yang berguna. Kisah ini menjadi publik pada Desember 2017.

Akuisisi Kape Technologies (2021)

Kape Technologies mengakuisisi ExpressVPN[5] seharga sekitar $936 juta pada 2021. Kape sebelumnya beroperasi sebagai Crossrider, sebuah perusahaan yang terkait dengan distribusi adware sebelum berganti nama, dan akuisisi ini menimbulkan kekhawatiran di kalangan pegiat privasi.

ExpressVPN sejak itu menugaskan pekerjaan jaminan tambahan, termasuk penilaian KPMG per Februari 2025, meskipun itu adalah tinjauan titik-waktu. Pengguna sebaiknya memantau audit mendatang untuk memverifikasi bahwa kontrol tersebut masih berlaku.

Fitur Keamanan Unik

ExpressVPN menawarkan beberapa fitur keamanan yang membedakannya dari pesaing dengan standar enkripsi serupa.

Teknologi TrustedServer

Setiap server ExpressVPN berjalan sepenuhnya di RAM yang mudah hilang, bukan hard drive. Server memuat citra hanya-baca pada setiap boot. Semua data dihapus sepenuhnya setiap kali server di-reboot. Arsitektur ini membuat penyimpanan data permanen di server VPN secara fisik tidak mungkin.

Threat Manager

Threat Manager memblokir aplikasi dan situs web agar tidak berkomunikasi dengan pelacak yang diketahui dan server berbahaya. Fitur ini beroperasi di tingkat DNS di seluruh perangkat yang terhubung. ExpressVPN memperbarui daftar blokirnya secara berkala berdasarkan data intelijen ancaman.

Express Keys (Pengelola Kata Sandi)

ExpressVPN menyertakan pengelola kata sandi bawaan bernama Keys dengan semua langganan. Keys menggunakan enkripsi zero-knowledge, yang berarti ExpressVPN tidak dapat mengakses kata sandi tersimpan Anda. Integrasi ini menambah nilai keamanan praktis di luar terowongan VPN itu sendiri.

Perlindungan Pasca-Kuantum

ExpressVPN menyatakan telah menerapkan dukungan kriptografi pasca-kuantum dalam protokol Lightway, yang ditujukan untuk komputer kuantum masa depan yang dapat memecahkan metode pertukaran kunci saat ini. Kami belum mengujinya secara independen.

Referensi

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. Diambil 18 Oktober 2026 dari https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.Diarsipkan: Snapshot Wayback Machine
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. Diambil 18 Oktober 2026 dari https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. t.t. Cure53 – Security assessments for software that matters. Diambil 18 Oktober 2026 dari https://cure53.de/.Diarsipkan: Snapshot Wayback Machine
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Diarsipkan: Snapshot Wayback Machine
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Diarsipkan: Snapshot Wayback Machine

Sumber daya untuk halaman ini

Grafik dan gambar referensi dari penelitian kami, bebas dilihat dan dibagikan.

• 

• Keamanan ExpressVPNPDF · 0.7 MB

Pertanyaan yang Sering Diajukan

SemuaKeamanan & PrivasiCara kerjanyaPengaturan & Dukungan

Apakah ExpressVPN aman digunakan secara keseluruhan?

Ya. ExpressVPN memegang skor kepercayaan 88/100, didukung oleh enkripsi AES-256, infrastruktur TrustedServer yang hanya berbasis RAM, dan kebijakan tanpa-log yang ketat yang dicakup oleh laporan jaminan KPMG Tipe 1 per Februari 2025 (jaminan wajar, tidak ada masalah yang ditemukan terkait perlindungan terhadap pencatatan aktivitas). Layanan ini didirikan di Kepulauan Virgin Britania Raya, di luar aliansi pengawasan 14 Eyes, dan ExpressVPN menyatakan klaim tanpa-log-nya bertahan ketika pihak berwenang Turki menyita server pada 2017 dan pemeriksaan tidak menghasilkan informasi yang berguna.

Mengapa yurisdiksi Kepulauan Virgin Britania Raya milik ExpressVPN penting bagi privasi pengguna?

BVI berada di luar aliansi intelijen 5, 9, dan 14 Eyes, dan ExpressVPN menyatakan hanya menanggapi perintah pengadilan setempat. Posisi itu diuji pada 2017, ketika pihak berwenang Turki menyita server dalam sebuah penyelidikan; pemeriksaan dilaporkan tidak menghasilkan informasi yang berguna.

Apa saja yang benar-benar diverifikasi oleh audit independen tentang ExpressVPN?

KPMG memberikan jaminan yang wajar, berdasarkan ISAE (UK) 3000 Tipe 1, atas TrustedServer dan klaim kebijakan privasi ExpressVPN per 28 Februari 2025. Laporan ini ditugaskan oleh ExpressVPN dan bersifat titik-waktu, bukan pemantauan berkelanjutan. Cure53 mencantumkan banyak laporan pentest ExpressVPN di situsnya sendiri, dan Cure53 serta Praetorian mengaudit versi ulang Rust dari Lightway pada 2024.

Data apa yang sebenarnya dikumpulkan ExpressVPN jika tidak mencatat aktivitas?

ExpressVPN tidak menyimpan riwayat penjelajahan, alamat IP, kueri DNS, atau stempel waktu koneksi. Layanan ini memang mengumpulkan data agregat yang tidak terhubung dengan akun individual: versi aplikasi, lokasi server umum yang dipilih, dan total bandwidth harian yang digunakan, semata-mata untuk mengelola kapasitas server. Detail penagihan seperti email dan metode pembayaran Anda disimpan terpisah; Bitcoin atau email sekali pakai dapat membatasi jejak tersebut lebih jauh.

Bagaimana protokol Lightway milik ExpressVPN dibandingkan dengan OpenVPN dari sisi keamanan?

Lightway adalah protokol proprietari ExpressVPN yang dibangun di atas wolfSSL, dengan basis kode yang menurut ExpressVPN jauh lebih kecil daripada OpenVPN, sehingga kode yang perlu diaudit lebih sedikit. Protokol ini mendukung enkripsi ChaCha20 atau AES-256, dan Cure53 serta Praetorian mengaudit versi ulang Rust-nya pada 2024.

Apakah kill switch ExpressVPN benar-benar menghentikan kebocoran jika koneksi terputus?

Ya. Kill switch ExpressVPN, yang disebut Network Lock, aktif secara default di Windows, Mac, Linux, dan router, serta beroperasi di tingkat firewall dan bukan tingkat aplikasi, sehingga menutup jeda singkat penyambungan ulang yang sering terlewat oleh kill switch tingkat aplikasi. Fitur ini memblokir semua lalu lintas kecuali yang melalui terowongan VPN dan server DNS pribadi ExpressVPN, dan Anda dapat memastikan tidak ada kebocoran DNS, WebRTC, atau IPv6 dengan tes kebocoran.

Apakah saya perlu khawatir bahwa Kape Technologies memiliki ExpressVPN?

Ini pertanyaan yang sah dan layak dipahami, bukan penentu akhir. Kape mengakuisisi ExpressVPN seharga yang dilaporkan $936 juta pada 2021 dan sebelumnya beroperasi sebagai Crossrider, perusahaan yang terkait dengan adware. Sejak akuisisi, ExpressVPN tetap mempertahankan yurisdiksi BVI-nya dan menugaskan penilaian KPMG per Februari 2025, tetapi itu adalah tinjauan titik-waktu, jadi pantau audit mendatang.

Apa itu perlindungan pasca-kuantum dan apakah ExpressVPN benar-benar memilikinya?

Kriptografi pasca-kuantum melindungi lalu lintas terenkripsi dari komputer kuantum masa depan yang cukup kuat untuk memecahkan standar saat ini seperti AES-256. ExpressVPN menyatakan telah menerapkan dukungan perlindungan pasca-kuantum dalam protokol Lightway-nya. Fitur ini bekerja bersama perfect forward secrecy, yang menghasilkan kunci sesi baru.

Bagaimana kebijakan pengembalian dana ExpressVPN jika fitur keamanannya tidak memenuhi harapan?

ExpressVPN mendukung setiap paket dengan jaminan uang kembali 30 hari, memberi Anda waktu penuh satu bulan untuk menguji Network Lock, perlindungan kebocoran DNS, dan arsitektur TrustedServer yang hanya berbasis RAM sebelum berkomitmen. Ini sejalan dengan jendela jaminan yang ditawarkan NordVPN dan ProtonVPN, sehingga menguji klaim tanpa-log sendiri tidak membawa risiko finansial dalam periode tersebut.

Berapa banyak perangkat yang dilindungi oleh satu akun ExpressVPN secara bersamaan?

ExpressVPN mencakup 10 hingga 14 koneksi perangkat secara bersamaan, tergantung tingkat paket yang Anda pilih. Setiap perangkat yang terhubung mendapatkan perlindungan yang sama: enkripsi AES-256, kill switch tingkat firewall dari Network Lock, dan server DNS pribadi ExpressVPN, sehingga rumah tangga dengan beberapa ponsel, laptop, dan pengaturan router tetap terlindungi dalam satu langganan.

Bagaimana saya bisa memastikan perlindungan kebocoran DNS ExpressVPN benar-benar berfungsi di perangkat saya?

ExpressVPN menjalankan DNS pribadi terenkripsi miliknya sendiri di setiap server, sehingga kueri Anda tidak pernah dirutekan melalui penyedia pihak ketiga seperti Google atau Cloudflare. Jalankan tes kebocoran melalui pemeriksa kebocoran DNS saat terhubung dan pastikan hasilnya hanya menampilkan server DNS milik ExpressVPN, bukan milik ISP Anda.

Apa yang terjadi pada lalu lintas saya jika ExpressVPN terputus secara tidak terduga?

Network Lock, kill switch ExpressVPN, memblokir semua lalu lintas internet begitu koneksi VPN terputus, karena beroperasi di tingkat firewall dan bukan tingkat aplikasi. Hal itu menutup jeda singkat penyambungan ulang tempat kill switch tingkat aplikasi pada layanan lain dapat membocorkan IP asli Anda. Fitur ini aktif secara default pada instalasi Windows, Mac, Linux, dan router.

Apakah keamanan ExpressVPN yang kuat mengorbankan kecepatan?

Tidak secara signifikan. ExpressVPN menempati peringkat #2 dari 22 pada Skor Kepercayaan kami, yang diagregasi dari pengujian pihak ketiga yang dipublikasikan, meskipun menjalankan enkripsi AES-256 penuh plus arsitektur TrustedServer yang hanya berbasis RAM pada setiap koneksi. Basis kode Lightway, yang menurut ExpressVPN jauh lebih kecil daripada OpenVPN, dirancang untuk mengimbangi sebagian beban yang ditambahkan oleh fitur keamanan yang lebih berat pada throughput.