ExpressVPN è Sicuro? Analisi di Sicurezza, Privacy e Audit
ExpressVPN è sicuro? Risultati di audit indipendenti, protocolli di crittografia, analisi della giurisdizione, test del kill switch e verifica della politica no-logs.
VPN più Sicure
ExpressVPN è Sicuro? Un’Analisi Approfondita della Sicurezza
ExpressVPN ottiene un punteggio di fiducia di 85/100 basato su audit no-logs verificati, crittografia AES-256 e server solo RAM in 105 paesi. Opera sotto la giurisdizione delle Isole Vergini Britanniche, al di fuori delle alleanze di sorveglianza dei 14 Eyes. Diversi audit indipendenti condotti da KPMG e Cure53 confermano che le sue affermazioni no-logs reggono sotto esame.
Giurisdizione: Perché le Isole Vergini Britanniche Contano
ExpressVPN è costituita nelle Isole Vergini Britanniche, un territorio britannico d’oltremare autogovernato. Le IVB non prevedono leggi obbligatorie sulla conservazione dei dati per i provider VPN. Questo singolo fatto determina come ExpressVPN risponde alle richieste di dati governativi.
Le IVB si trovano al di fuori delle alleanze di condivisione dell’intelligence dei 5 Eyes, 9 Eyes e 14 Eyes. Le richieste dei governi stranieri devono passare attraverso l’Alta Corte delle IVB prima di raggiungere ExpressVPN. Le IVB non hanno alcun obbligo legale di rispettare direttamente mandati o ordini di sorveglianza stranieri.
Questo vantaggio giurisdizionale si è dimostrato reale nel 2017. Le autorità turche hanno sequestrato un server ExpressVPN durante un’indagine politica. Il server non conteneva alcun dato degli utenti, confermando che la politica no-logs ha funzionato sotto la reale pressione governativa.
Storico degli Audit Indipendenti
ExpressVPN ha completato più audit di sicurezza di terze parti rispetto alla maggior parte dei concorrenti. Ogni audit ha esaminato diversi aspetti delle affermazioni sulla privacy e sicurezza del servizio.
Audit No-Logs di KPMG
KPMG ha sottoposto a audit la politica no-logs di ExpressVPN nel 2022 e di nuovo nel 2024. Entrambi gli audit hanno confermato che la tecnologia TrustedServer di ExpressVPN non memorizza registri di attività, registri di connessione o indirizzi IP. KPMG ha testato i server di produzione e i sistemi interni per verificare queste affermazioni in modo indipendente.
Audit di Sicurezza di Cure53
Cure53, una rispettata azienda tedesca di cybersicurezza, ha sottoposto a audit ExpressVPN più volte. Nel 2019, Cure53 ha esaminato le estensioni del browser e non ha trovato vulnerabilità critiche. Ha sottoposto a audit il protocollo Lightway nel 2021 e ha confermato che la sua implementazione crittografica era solida. Un audit del 2022 ha esaminato l’infrastruttura TrustedServer e l’ha giudicata robusta.
Audit di PwC
PricewaterhouseCoopers ha condotto un precedente audit no-logs nel 2019. PwC ha verificato che la configurazione dei server di ExpressVPN corrispondesse alla sua politica sulla privacy pubblica. Questo ha rappresentato uno dei primi importanti audit commissionati da ExpressVPN.
ExpressVPN pubblica i riepiloghi di tutti i risultati degli audit sul suo sito web. I report completi di Cure53 sono disponibili pubblicamente, il che dimostra una trasparenza superiore alla media nel settore VPN.
Politica di Registrazione: Cosa Viene Conservato e Cosa No
La politica sulla privacy di ExpressVPN indica chiaramente quali dati raccoglie. Comprendere i dettagli è più importante delle affermazioni di marketing.
Dati che ExpressVPN NON Conserva
ExpressVPN non registra la cronologia di navigazione, la destinazione del traffico, le query DNS o l’indirizzo IP. Non registra timestamp di connessione, durata della sessione o indirizzi IP VPN assegnati. Nessun contenuto delle tue comunicazioni passa attraverso alcun sistema di registrazione.
Dati che ExpressVPN RACCOGLIE
ExpressVPN raccoglie dati di connessione aggregati: quale versione dell’app si utilizza, quale posizione del server si è scelta (non il server specifico) e la larghezza di banda totale consumata al giorno. Questi dati non possono identificare i singoli utenti o collegare l’attività ad account specifici. Utilizza queste informazioni per mantenere la capacità dei server nella sua rete di oltre 3.000 server.
L’email del tuo account, le informazioni di pagamento e la cronologia dei ticket di supporto vengono conservate per scopi di fatturazione. Gli utenti che desiderano il massimo anonimato possono pagare con Bitcoin o utilizzare un indirizzo email usa e getta.
Standard di Crittografia e Protocolli
ExpressVPN utilizza la crittografia AES-256-GCM come standard predefinito. Questo è lo stesso livello di crittografia utilizzato dal governo degli Stati Uniti per le informazioni classificate. Violare AES-256 richiederebbe una potenza computazionale che attualmente non esiste.
Protocolli Disponibili
ExpressVPN offre 4 protocolli VPN nelle sue app. Lightway è il suo protocollo proprietario, basato su wolfSSL e che utilizza la crittografia ChaCha20 o AES-256. OpenVPN funziona sia su UDP che su TCP con AES-256-GCM. IKEv2/IPSec è disponibile su piattaforme selezionate per connessioni mobili veloci.
Lightway merita un’attenzione particolare. Il suo codice sorgente contiene circa 2.000 righe di codice, rispetto alle 70.000+ di OpenVPN. Meno righe significano meno potenziali vulnerabilità e tempi di connessione più rapidi, inferiori a 1 secondo. Cure53 ha sottoposto a audit il codice sorgente di Lightway, che ExpressVPN ha pubblicato come open source su GitHub.
Perfect Forward Secrecy
ExpressVPN negozia una nuova chiave di crittografia per ogni sessione di connessione. Se un attaccante compromettesse in qualche modo una chiave di sessione, le sessioni passate e future rimarrebbero protette. Questa funzionalità impedisce la decrittazione retroattiva massiva del traffico catturato.
Kill Switch e Protezione dalle Fughe DNS
ExpressVPN chiama il suo kill switch “Network Lock”. Si attiva per impostazione predefinita su Windows, Mac, Linux e router. Network Lock blocca tutto il traffico internet se la connessione VPN cade inaspettatamente.
Network Lock funziona a livello di firewall, non a livello di applicazione. Questo approccio previene le fughe durante le brevi finestre di riconnessione che i kill switch a livello applicativo spesso non riescono a gestire. Consente il traffico solo attraverso il tunnel VPN e verso i server DNS di ExpressVPN.
ExpressVPN gestisce il proprio DNS privato e crittografato su ogni server. Le tue query DNS non raggiungono mai provider DNS di terze parti come Google o Cloudflare. Questo elimina il rischio di fughe DNS a livello infrastrutturale piuttosto che fare affidamento su patch software.
I tool di test indipendenti mostrano costantemente zero fughe DNS, zero fughe WebRTC e zero fughe IPv6 nelle principali app di ExpressVPN. Il firmware del router estende questa protezione a ogni dispositivo sulla rete.
Incidenti di Sicurezza Passati
Nessun prodotto di sicurezza esiste senza essere soggetto a scrutinio. ExpressVPN ha affrontato due incidenti degni di nota.
Il Sequestro del Server in Turchia (2017)
Le autorità turche hanno indagato sull’assassinio dell’ambasciatore russo Andrei Karlov. Hanno sequestrato un server ExpressVPN alla ricerca di comunicazioni dei sospettati. Il server non conteneva dati utilizzabili, validando l’infrastruttura no-logs sotto la reale pressione delle forze dell’ordine.
L’Acquisizione da Parte di Kape Technologies (2021)
Kape Technologies ha acquisito ExpressVPN per circa 936 milioni di dollari nel settembre 2021. Kape operava in precedenza come Crossrider, un’azienda associata alla distribuzione di adware prima del rebranding. Questa acquisizione ha sollevato legittime preoccupazioni tra i sostenitori della privacy.
ExpressVPN ha risposto mantenendo le proprie operazioni indipendenti e la giurisdizione delle IVB. Gli audit KPMG post-acquisizione del 2022 e del 2024 hanno confermato che la politica no-logs è rimasta intatta. L’azienda ha mantenuto il proprio team dirigenziale e ha continuato a pubblicare i risultati degli audit in modo trasparente. Gli utenti dovrebbero monitorare i futuri audit per verificare la continua indipendenza.
Funzionalità di Sicurezza Uniche
ExpressVPN offre diverse funzionalità di sicurezza che la distinguono dai concorrenti con standard di crittografia simili.
Tecnologia TrustedServer
Ogni server ExpressVPN funziona interamente su RAM volatile, non su dischi rigidi. I server caricano un’immagine di sola lettura ad ogni avvio. Tutti i dati vengono cancellati completamente ad ogni riavvio del server. Questa architettura rende fisicamente impossibile la memorizzazione persistente dei dati sui server VPN.
Threat Manager
Threat Manager impedisce alle app e ai siti web di comunicare con tracker noti e server dannosi. Opera a livello DNS su tutti i dispositivi connessi. ExpressVPN aggiorna regolarmente le sue liste di blocco basandosi su dati di threat intelligence.
Express Keys (Gestore di Password)
ExpressVPN include un gestore di password integrato chiamato Keys con tutti gli abbonamenti. Keys utilizza la crittografia zero-knowledge, il che significa che ExpressVPN non può accedere alle password memorizzate. Questa integrazione aggiunge un valore pratico in termini di sicurezza al di là del tunnel VPN stesso.
Protezione Post-Quantum
ExpressVPN ha implementato il supporto alla crittografia post-quantum nel suo protocollo Lightway. Questa funzionalità protegge dagli attacchi futuri del quantum computing che potrebbero violare gli attuali standard di crittografia. Pochi provider VPN hanno implementato questa protezione alla data dei test attuali.
Domande Frequenti
ExpressVPN è sicuro nel complesso da utilizzare?
Sì. ExpressVPN detiene un punteggio di fiducia di 85/100, supportato da crittografia AES-256, infrastruttura TrustedServer solo RAM e una rigorosa politica no-logs verificata dagli audit KPMG nel 2022 e 2024. È costituito nelle Isole Vergini Britanniche, al di fuori delle alleanze di sorveglianza dei 14 Eyes, e la sua affermazione no-logs ha retto quando le autorità turche hanno sequestrato un server nel 2017 senza trovare alcun dato degli utenti.
Perché la giurisdizione delle Isole Vergini Britanniche di ExpressVPN è importante per la privacy degli utenti?
Le IVB non hanno leggi obbligatorie sulla conservazione dei dati e si trovano al di fuori delle alleanze di sorveglianza dei 5, 9 e 14 Eyes, quindi le richieste dei governi stranieri devono superare l’Alta Corte delle IVB prima di raggiungere ExpressVPN. Questo isolamento legale è stato testato direttamente nel 2017, quando le autorità turche hanno sequestrato un server durante un’indagine politica e non hanno trovato alcun dato degli utenti memorizzato.
Cosa hanno effettivamente verificato gli audit indipendenti su ExpressVPN?
KPMG ha sottoposto a audit la politica no-logs di ExpressVPN nel 2022 e 2024, confermando che TrustedServer non memorizza registri di attività, connessione o IP. Cure53 ha sottoposto a audit le estensioni del browser (2019), il protocollo Lightway (2021) e l’infrastruttura TrustedServer (2022), non trovando vulnerabilità critiche. PwC ha condotto un precedente audit no-logs nel 2019. I report completi di Cure53 sono pubblicati pubblicamente.
Quali dati raccoglie effettivamente ExpressVPN se non registra l’attività?
ExpressVPN non memorizza cronologia di navigazione, indirizzi IP, query DNS o timestamp di connessione. Raccoglie dati aggregati non collegati a singoli account: versione dell’app, posizione generale del server scelta e larghezza di banda totale giornaliera utilizzata, puramente per gestire la capacità dei server. I dettagli di fatturazione come email e metodo di pagamento vengono conservati separatamente; Bitcoin o email usa e getta limitano ulteriormente questa impronta.
Come si confronta il protocollo Lightway di ExpressVPN con OpenVPN per la sicurezza?
Lightway è il protocollo proprietario di ExpressVPN basato su wolfSSL, che utilizza circa 2.000 righe di codice rispetto alle 70.000+ di OpenVPN, il che significa meno potenziali vulnerabilità e tempi di connessione più rapidi in meno di un secondo. Supporta la crittografia ChaCha20 o AES-256, utilizza perfect forward secrecy per ruotare le chiavi per sessione e Cure53 ha sottoposto a audit il codice pubblicato e open source su GitHub nel 2021.
Il kill switch di ExpressVPN ferma effettivamente le fughe se la connessione cade?
Sì. Il kill switch di ExpressVPN, chiamato Network Lock, si attiva per impostazione predefinita su Windows, Mac, Linux e router, e funziona a livello di firewall piuttosto che a livello di applicazione, chiudendo le brevi finestre di riconnessione che i switch a livello applicativo spesso non riescono a gestire. Blocca tutto il traffico tranne quello attraverso il tunnel VPN e i server DNS privati di ExpressVPN, e i test indipendenti hanno trovato zero fughe DNS, WebRTC o IPv6.
Devo essere preoccupato dal fatto che Kape Technologies possieda ExpressVPN?
È una domanda legittima che merita di essere compresa, non un motivo di preoccupazione. Kape ha acquisito ExpressVPN nel settembre 2021 e operava in precedenza come Crossrider, un’azienda legata alla distribuzione di adware. Da allora, ExpressVPN ha mantenuto il suo team dirigenziale, conservato la sua giurisdizione delle IVB e superato gli audit KPMG no-logs sia nel 2022 che nel 2024, il che suggerisce che l’indipendenza operativa si sia mantenuta.
Che cos’è la protezione post-quantum e ExpressVPN effettivamente la possiede?
La crittografia post-quantum protegge il traffico criptato dagli attacchi di computer quantistici futuri abbastanza potenti da violare gli standard attuali come AES-256. ExpressVPN ha implementato il supporto alla crittografia post-quantum all’interno del suo protocollo Lightway, mettendolo avanti rispetto alla maggior parte dei provider VPN che non hanno ancora aggiunto questo livello. Funziona insieme al perfect forward secrecy esistente di ExpressVPN, che ruota le chiavi di crittografia per ogni sessione indipendentemente dal rischio quantistico.
Qual è la politica di rimborso di ExpressVPN se le funzionalità di sicurezza non soddisfano le aspettative?
ExpressVPN supporta ogni piano con una garanzia di rimborso di 30 giorni, offrendoti un intero mese per testare Network Lock, la protezione dalle fughe DNS e l’architettura TrustedServer solo RAM prima di impegnarti. Questo corrisponde alla finestra di garanzia offerta da NordVPN e ProtonVPN, quindi testare personalmente le affermazioni audit no-logs non comporta rischi finanziari entro quel periodo.
Quanti dispositivi protegge un account ExpressVPN contemporaneamente?
ExpressVPN copre da 10 a 14 connessioni di dispositivi simultanei a seconda del livello di piano che scegli. Ogni dispositivo connesso ottiene le stesse protezioni: crittografia AES-256, kill switch Network Lock a livello di firewall e server DNS privati di ExpressVPN, quindi una casa che esegue più telefoni, laptop e una configurazione del router rimane protetta con un unico abbonamento.
Come posso confermare che la protezione dalle fughe DNS di ExpressVPN sta effettivamente funzionando sul mio dispositivo?
ExpressVPN gestisce il proprio DNS privato e crittografato su ogni server, quindi le tue query non vengono mai instradate attraverso provider DNS di terze parti come Google o Cloudflare, che i test indipendenti hanno trovato produrre zero fughe DNS, WebRTC o IPv6. Esegui un test di fuga attraverso un verificatore di fughe DNS mentre sei connesso e conferma che i risultati mostrano solo i server DNS di ExpressVPN, non quelli del tuo ISP.
Cosa accade al mio traffico se ExpressVPN si disconnette inaspettatamente?
Network Lock, il kill switch di ExpressVPN, blocca tutto il traffico internet nel momento in cui la connessione VPN cade, poiché funziona a livello di firewall piuttosto che a livello di applicazione. Questo chiude le brevi finestre di riconnessione dove i kill switch a livello applicativo su altri servizi possono causare fughe del tuo IP reale. È abilitato per impostazione predefinita su installazioni Windows, Mac, Linux e router.
La forte sicurezza di ExpressVPN comporta il costo della velocità?
Non significativamente. ExpressVPN si classifica #8 su 22 nel nostro Speed Lab, aggregato da laboratori indipendenti, nonostante esegua la crittografia AES-256 completa più l’architettura TrustedServer solo RAM su ogni connessione. La base di codice snella di Lightway, circa 2.000 righe rispetto alle 70.000+ di OpenVPN, aiuta a compensare l’overhead che le funzionalità di sicurezza più pesanti tipicamente aggiungono alla velocità effettiva.