Er ExpressVPN öruggt? Öryggi, friðhelgi og úttekt á endurskoðun

Er ExpressVPN öruggt? Ítarleg greining á öryggi

ExpressVPN fær 88/100 í traustseinkunn byggða á opinberri KPMG-skýrslu um tryggingu fyrir stefnu um engar skráningar, AES-256 dulkóðun og netþjónum sem keyra eingöngu í vinnsluminni í 113 löndum. Þjónustan lýtur lögsögu Bresku Jómfrúreyja, utan 14 Eyes njósnabandalaganna. Skýrsla KPMG og endurteknar öryggisúttektir Cure53 styðja fullyrðingar þess um friðhelgi og öryggi, innan þeirra marka sem lýst er hér að neðan.

Lögsaga: Af hverju Bresku Jómfrúreyjar skipta máli

ExpressVPN er skráð á Bresku Jómfrúreyjum, sjálfstjórnarsvæði sem heyrir undir Bretland, og Jómfrúreyjar standa utan 5 Eyes, 9 Eyes og 14 Eyes bandalaganna um miðlun njósnaupplýsinga. Við fundum enga frumheimild um reglu um varðveislu gagna VPN-þjónusta á Bresku Jómfrúreyjum og höldum því ekki fram. TorrentFreak greindi frá[1] að ExpressVPN bregðist aðeins við dómsúrskurðum frá staðbundnum dómstólum.

Prófraunin kom árið 2017. Tyrknesk yfirvöld lögðu hald á netþjón ExpressVPN í rannsókn. Samkvæmt þeirri frétt skilaði skoðunin engum gagnlegum upplýsingum, og ExpressVPN sagði að það hefði tjáð rannsakendum að það hefði aldrei haft í fórum sínum tengiskrár viðskiptavina.

Saga óháðra úttekta

ExpressVPN hefur látið gera fleiri óháðar öryggisúttektir en flestir keppinautar. Hver úttekt skoðaði mismunandi þætti í friðhelgi og öryggisfullyrðingum þjónustunnar.

KPMG-skýrsla um tryggingu fyrir engar skráningar

KPMG LLP veitti hóflega tryggingu, samkvæmt ISAE (UK) 3000 Type 1, á TrustedServer-kerfi ExpressVPN og fullyrðingum í persónuverndarstefnu þess frá og með 28. febrúar 2025[2], og ExpressVPN segir að það hafi ekki fundið nein vandamál varðandi tæknilegar varnir gegn skráningu athafna. Þetta er punktmat sem ExpressVPN pantaði, ekki stöðugt eftirlit, og hún er aðgengileg eftir að samþykkt eru skilmálar KPMG. ExpressVPN lýsir henni sem annarri KPMG-úttekt sinni.

Öryggisúttektir Cure53

Cure53, þýskt netöryggisfyrirtæki, birtir fjölda skýrslna um pentest hjá ExpressVPN á opinberum lista yfir skýrslur[3], þar á meðal um Lightway-samskiptareglurnar (2022 og október til nóvember 2024), fastbúnað Aircove-beina (nóvember 2024), vafraviðbætur og Android-, iOS-, Linux- og macOS-biðlarana. Haustið 2024 endurskoðuðu Cure53 og Praetorian bæði Rust-endurskrifun ExpressVPN á Lightway. Við höfum ekki yfirfarið alvarleikatölur einstakra skýrslna, svo lestu skýrslurnar til að sjá niðurstöðurnar.

Cure53 birtir eigin skýrslur um ExpressVPN opinberlega, sem er gagnsæismerki í VPN-iðnaðinum, þótt hver verkefni sé pantað af ExpressVPN.

Skráningarstefna: Hvað er geymt og hvað ekki

Persónuverndarstefna ExpressVPN lýsir skýrt hvaða gögn það safnar. Smáatriðin skipta meira máli en markaðsfullyrðingar.

Gögn sem ExpressVPN geymir EKKI

ExpressVPN skráir hvorki vafraferil þinn, áfangastað umferðar, DNS-fyrirspurnir né IP-tölu þína. Það skráir ekki tímastimpla tenginga, lengd lotu né úthlutaðar VPN IP-tölur. Ekkert efni samskipta þinna fer í gegnum neitt skráningarkerfi.

Gögn sem ExpressVPN safnar

ExpressVPN safnar samanlögðum tengigögnum: hvaða útgáfu forrits þú notar, hvaða staðsetningu netþjóns þú valdir (ekki hvaða netþjón nákvæmlega) og heildarbandvídd sem notuð er á dag. Þessi gögn geta ekki borið kennsl á einstaka notendur né tengt virkni við tiltekna reikninga. Þau eru notuð til að viðhalda afkastagetu netþjóna.

Netfang reiknings þíns, greiðsluupplýsingar og saga þjónustubeiðna eru geymd vegna reikningagerðar. Notendur sem vilja hámarks nafnleynd geta greitt með Bitcoin eða notað einnota netfang.

Dulkóðunarstaðlar og samskiptareglur

ExpressVPN notar AES-256-GCM dulkóðun sem sjálfgefinn staðal. AES-256 er einnig samhverf dulritunaraðferð sem tilgreind er í CNSA 2.0 reikniritasvítu NSA[4] fyrir þjóðaröryggiskerfi.

Samskiptareglur í boði

ExpressVPN býður 4 VPN-samskiptareglur í forritum sínum. Lightway er eigin samskiptaregla þess, byggð á wolfSSL og notar ChaCha20 eða AES-256 dulkóðun. OpenVPN keyrir bæði yfir UDP og TCP með AES-256-GCM. IKEv2/IPSec er í boði á völdum kerfum fyrir hraðar farsímatengingar.

Lightway á skilið sérstaka athygli. ExpressVPN hefur sagt að kóðagrunnur þess sé mun minni en OpenVPN, og minni kóðagrunnur býður upp á færri fleti til úttektar. Cure53 og Praetorian endurskoðuðu Rust-endurskrifun Lightway frá 2024, og ExpressVPN birti kóðann sem opinn hugbúnað.

Fullkomin framvirk leynd

ExpressVPN segir að það semji um nýjan dulkóðunarlykil fyrir hverja tengilotu, þannig að ef einn lotulykill kemst í hendur óviðkomandi aðila afhjúpast ekki fyrri lotur.

Kill switch og vörn gegn DNS-leka

ExpressVPN kallar kill switch sinn “Network Lock”. Hann er virkur sjálfgefið á Windows, Mac, Linux og beinum. Network Lock lokar allri netumferð ef VPN-tengingin rofnar óvænt.

Network Lock virkar á eldveggsstigi, ekki á forritsstigi. Þessi nálgun kemur í veg fyrir leka á stuttum endurtengingartímabilum sem kill switch á forritsstigi missa oft af. Hún leyfir umferð aðeins í gegnum VPN-göngin og til DNS-þjóna ExpressVPN.

ExpressVPN keyrir eigin einkarekið, dulkóðað DNS á hverjum netþjóni. DNS-fyrirspurnir þínar fara aldrei til þriðju aðila DNS-þjónustu eins og Google eða Cloudflare. Þetta útilokar hættu á DNS-leka á innviðastigi frekar en að treysta á hugbúnaðarplástra.

Óháð prófunartól sýna stöðugt núll DNS-leka, núll WebRTC-leka og núll IPv6-leka í helstu forritum ExpressVPN. Fastbúnaður beinisins víkkar þessa vörn út á hvert tæki á netinu þínu.

Fyrri öryggisatvik

Engin öryggisvara sleppur undan skoðun. ExpressVPN hefur lent í tveimur athyglisverðum atvikum sem vert er að skoða.

Haldlagning netþjónsins í Tyrklandi (2017)

Tyrknesk yfirvöld sem rannsökuðu morðið á rússneska sendiherranum Andrei Karlov lögðu hald á netþjón ExpressVPN í janúar 2017, samkvæmt sögusögnum[1] vegna þess að Gmail- og Facebook-reikningar morðingjans höfðu verið eyddir fjarlægt um ExpressVPN-tengingu. Í fréttinni segir að skoðunin hafi skilað engum gagnlegum upplýsingum. Sagan varð opinber í desember 2017.

Kaup Kape Technologies (2021)

Kape Technologies keypti ExpressVPN[5] á um 936 milljónir dala árið 2021. Kape starfaði áður undir nafninu Crossrider, fyrirtæki sem tengdist dreifingu auglýsingahugbúnaðar áður en það endurnefndi sig, og kaupin vöktu áhyggjur meðal talsmanna friðhelgi.

ExpressVPN hefur síðan látið vinna frekari tryggingarvinnu, þar á meðal KPMG-matið frá og með febrúar 2025, þótt það sé punktmat. Notendur ættu að fylgjast með framtíðarúttektum til að staðfesta að eftirlitsaðgerðirnar haldi enn.

Einstakir öryggiseiginleikar

ExpressVPN býður upp á nokkra öryggiseiginleika sem greina það frá keppinautum með sambærilega dulkóðunarstaðla.

TrustedServer-tækni

Sérhver netþjónn ExpressVPN keyrir alfarið í vinnsluminni (RAM) en ekki á harðdiskum. Netþjónar hlaða inn skrifvarinni mynd við hverja ræsingu. Öll gögn eru þurrkuð út algjörlega við hverja endurræsingu netþjónsins. Þessi arkitektúr gerir varanlega gagnageymslu á VPN-netþjónum líkamlega ómögulega.

Threat Manager

Threat Manager lokar á að forrit og vefsvæði hafi samskipti við þekkta rekjara og illgjarna netþjóna. Hann starfar á DNS-stigi á öllum tengdum tækjum. ExpressVPN uppfærir lokunarlista sína reglulega á grundvelli upplýsinga um ógnir.

Express Keys (lykilorðastjóri)

ExpressVPN fylgir innbyggðum lykilorðastjóra sem heitir Keys með öllum áskriftum. Keys notar núll-þekkingar dulkóðun, sem þýðir að ExpressVPN getur ekki nálgast vistuð lykilorð þín. Þessi samþætting bætir hagnýtu öryggisgildi umfram VPN-göngin sjálf.

Vörn gegn skammtatölvum

ExpressVPN segist hafa innleitt stuðning við skammtatölvuþolna dulritun í Lightway-samskiptareglunum, sem miðar að framtíðar skammtatölvum sem gætu brotið núverandi lykilskiptaaðferðir. Við höfum ekki prófað það sjálfstætt.

Tilvísanir

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. Sótt 18. október 2026 frá https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.Safnvistað: Wayback Machine skyndimynd
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. Sótt 18. október 2026 frá https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. e.d. Cure53 – Security assessments for software that matters. Sótt 18. október 2026 frá https://cure53.de/.Safnvistað: Wayback Machine skyndimynd
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Safnvistað: Wayback Machine skyndimynd
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Safnvistað: Wayback Machine skyndimynd

Tilföng fyrir þessa síðu

Gröf og tilvísunarmyndir úr rannsóknum okkar, frjálsar til að skoða og deila.

• 

• Öryggi ExpressVPNPDF · 0.7 MB

Algengar spurningar

AlltÖryggi og næðiHvernig það virkarUppsetning og stuðningur

Er ExpressVPN öruggt í notkun?

Já. ExpressVPN fær 88/100 í traustseinkunn, studd af AES-256 dulkóðun, RAM-eingöngu TrustedServer-innviðum og strangri stefnu um engar skráningar, sem KPMG Type 1 tryggingarskýrsla frá febrúar 2025 nær yfir (hófleg trygging, engin vandamál fundust varðandi varnir gegn skráningu athafna). Þjónustan er skráð á Bresku Jómfrúreyjum, utan 14 Eyes njósnabandalaganna, og ExpressVPN segir að fullyrðing þess um engar skráningar hafi staðist þegar tyrknesk yfirvöld lögðu hald á netþjón árið 2017 og skoðunin skilaði engum gagnlegum upplýsingum.

Af hverju skiptir lögsaga ExpressVPN á Bresku Jómfrúreyjum máli fyrir friðhelgi notenda?

Jómfrúreyjar standa utan 5, 9 og 14 Eyes njósnabandalaganna, og ExpressVPN hefur sagt að það bregðist aðeins við dómsúrskurðum frá staðbundnum dómstólum. Þessi afstaða var prófuð árið 2017, þegar tyrknesk yfirvöld lögðu hald á netþjón í rannsókn; skoðunin skilaði sögusögnum samkvæmt engum gagnlegum upplýsingum.

Hvað hafa óháðar úttektir raunverulega staðfest um ExpressVPN?

KPMG veitti hóflega tryggingu, samkvæmt ISAE (UK) 3000 Type 1, á TrustedServer og fullyrðingum ExpressVPN í persónuverndarstefnu frá og með 28. febrúar 2025. Hún er pöntuð af ExpressVPN og er punktmat, ekki stöðugt eftirlit. Cure53 birtir fjölda pentest-skýrslna um ExpressVPN á eigin vefsvæði, og Cure53 og Praetorian endurskoðuðu Rust-endurskrifun Lightway árið 2024.

Hvaða gögn safnar ExpressVPN í raun ef það skráir ekki virkni?

ExpressVPN geymir hvorki vafraferil, IP-tölur, DNS-fyrirspurnir né tímastimpla tenginga. Það safnar hins vegar samanlögðum gögnum sem ekki eru tengd einstökum reikningum: útgáfu forrits, almennri staðsetningu netþjóns sem valin er og heildarbandvídd sem notuð er á dag, eingöngu til að stýra afkastagetu netþjóna. Greiðsluupplýsingar eins og netfang þitt og greiðslumáti eru geymdar aðskilið; Bitcoin eða einnota netfang takmarka þetta fótspor enn frekar.

Hvernig er Lightway-samskiptaregla ExpressVPN í samanburði við OpenVPN hvað öryggi varðar?

Lightway er eigin samskiptaregla ExpressVPN, byggð á wolfSSL, með kóðagrunn sem ExpressVPN segir að sé mun minni en OpenVPN, sem skilur eftir minni kóða til úttektar. Hún styður ChaCha20 eða AES-256 dulkóðun, og Cure53 og Praetorian endurskoðuðu Rust-endurskrifun hennar árið 2024.

Stöðvar kill switch ExpressVPN raunverulega leka ef tengingin rofnar?

Já. Kill switch ExpressVPN, sem kallast Network Lock, er virkur sjálfgefið á Windows, Mac, Linux og beinum, og starfar á eldveggsstigi frekar en forritsstigi, sem lokar stuttum endurtengingartímabilum sem kill switch á forritsstigi missa oft af. Hann lokar allri umferð nema í gegnum VPN-göngin og eigin einkareknu DNS-þjóna ExpressVPN, og þú getur staðfest að það séu engir DNS-, WebRTC- eða IPv6-lekar með lekaprófi.

Ætti ég að hafa áhyggjur af því að Kape Technologies eigi ExpressVPN?

Þetta er lögmæt spurning sem vert er að skilja, ekki ástæða til að hætta við. Kape keypti ExpressVPN fyrir sögð 936 milljónir dala árið 2021 og starfaði áður sem Crossrider, fyrirtæki tengt auglýsingahugbúnaði. Frá kaupunum hefur ExpressVPN haldið lögsögu sinni á Bresku Jómfrúreyjum og látið gera KPMG-matið frá og með febrúar 2025, en það er punktmat, svo fylgstu með framtíðarúttektum.

Hvað er vörn gegn skammtatölvum og hefur ExpressVPN hana raunverulega?

Dulritun sem þolir skammtatölvur verndar dulkóðaða umferð gegn framtíðar skammtatölvum sem gætu verið nógu öflugar til að brjóta núverandi staðla eins og AES-256. ExpressVPN segist hafa innleitt stuðning við vörn gegn skammtatölvum innan Lightway-samskiptareglunnar. Hún virkar ásamt fullkominni framvirkri leynd, sem býr til nýja lotulykla.

Hver er endurgreiðslustefna ExpressVPN ef öryggiseiginleikarnir standast ekki væntingar?

ExpressVPN veitir öllum áskriftum 30 daga peningaábyrgð, sem gefur þér heilan mánuð til að prófa Network Lock, vörn gegn DNS-leka og RAM-eingöngu arkitektúr TrustedServer áður en þú skuldbindur þig. Þetta er í samræmi við ábyrgðartímabil NordVPN og ProtonVPN, þannig að það að prófa fullyrðingarnar um engar skráningar sjálfur felur ekki í sér fjárhagslega áhættu innan þess tímabils.

Hversu mörg tæki verndar einn reikningur ExpressVPN í einu?

ExpressVPN nær yfir 10 til 14 samtímis tæki eftir því hvaða áskriftarflokk þú velur. Sérhvert tengt tæki fær sömu vörn: AES-256 dulkóðun, kill switch á eldveggsstigi frá Network Lock og einkarekna DNS-þjóna ExpressVPN, þannig að heimili með marga síma, fartölvur og beinistillingu er varið undir einni áskrift.

Hvernig get ég staðfest að vörn ExpressVPN gegn DNS-leka virki í raun á tækinu mínu?

ExpressVPN keyrir eigin einkarekið, dulkóðað DNS á hverjum netþjóni, þannig að fyrirspurnir þínar fara aldrei í gegnum þriðju aðila eins og Google eða Cloudflare. Keyrðu lekapróf með DNS-lekaprófara á meðan þú ert tengdur og staðfestu að niðurstöðurnar sýni aðeins eigin DNS-þjóna ExpressVPN, ekki þjónustuaðila þíns.

Hvað gerist með umferðina mína ef ExpressVPN aftengist óvænt?

Network Lock, kill switch ExpressVPN, lokar allri netumferð um leið og VPN-tengingin rofnar, þar sem hann starfar á eldveggsstigi frekar en forritsstigi. Það lokar stuttu endurtengingartímabilunum þar sem kill switch á forritsstigi annarra þjónusta geta lekið raunverulegu IP-tölu þinni. Hann er virkur sjálfgefið á Windows, Mac, Linux og uppsetningum á beinum.

Kemur sterk öryggisvörn ExpressVPN niður á hraðanum?

Ekki verulega. ExpressVPN er í 2. sæti af 22 í traustseinkunn okkar, sem byggð er á birtum prófunum þriðja aðila, þrátt fyrir að keyra fulla AES-256 dulkóðun auk RAM-eingöngu TrustedServer-arkitektúrs á hverri tengingu. Lightway, sem ExpressVPN segir að sé mun minni en OpenVPN, er hannað til að vega upp á móti hluta af aukakostnaðinum sem þyngri öryggiseiginleikar bæta við afköst.