Безопасна ли ExpressVPN? Анализ безопасности, приватности и аудита

Безопасна ли ExpressVPN? Глубокий анализ безопасности

ExpressVPN получает оценку доверия 86/100 на основе опубликованного отчёта об уверенности KPMG в отсутствии логирования, шифрования AES-256 и серверов, работающих только в оперативной памяти, в 113 странах. Она работает под юрисдикцией Британских Виргинских островов, вне альянсов наблюдения 14 Eyes. Отчёт об уверенности KPMG и повторные аудиты безопасности Cure53 поддерживают её утверждения о конфиденциальности и безопасности в пределах, описанных ниже.

Юрисдикция: почему Британские Виргинские острова имеют значение

ExpressVPN зарегистрирована на Британских Виргинских островах, самоуправляющейся британской заморской территории. БВО не имеют обязательных законов об хранении данных для поставщиков VPN. Этот единственный факт определяет, как ExpressVPN реагирует на запросы правительства о данных.

БВО находятся вне альянсов разведки 5 Eyes, 9 Eyes и 14 Eyes. Запросы иностранных правительств должны пройти через Верховный суд БВО перед тем, как достичь ExpressVPN. У БВО нет юридического обязательства напрямую соблюдать иностранные повестки или приказы о наблюдении.

Преимущество этой юрисдикции оказалось реальным в 2017 году. Турецкие власти конфисковали сервер ExpressVPN во время политического расследования. Сервер не содержал никаких данных пользователей, что подтверждает работоспособность политики отсутствия логов при реальном давлении правительства.

История независимых аудитов

ExpressVPN провела больше аудитов безопасности третьими сторонами, чем большинство конкурентов. Каждый аудит исследовал различные аспекты заявлений об приватности и безопасности сервиса.

Отчет KPMG об отсутствии логирования

KPMG LLP (UK) выпустила отчет о разумной уверенности ISAE (UK) 3000 Type I от 8 мая 2025 г. по TrustedServer ExpressVPN на дату 28 февраля 2025 г. без исключений по целевому контролю, охватывающему логирование активности пользователей. Это отчет, ограниченный моментом времени и заказанный ExpressVPN, а не непрерывный мониторинг; он доступен после принятия условий KPMG. ExpressVPN также указывает, что заказывала предыдущие проверки уверенности.

Аудиты безопасности Cure53

Cure53, уважаемая немецкая фирма по кибербезопасности, размещает на своём веб-сайте ссылки минимум на 16 отчётов о тестировании безопасности ExpressVPN (2018–2026), охватывающих приложения, расширения, маршрутизаторы, протокол Lightway и TrustedServer. Осенью 2024 года Cure53 и Praetorian провели аудит переписанного на Rust версии Lightway. Cure53 обнаружила одну проблему высокой серьёзности типа отказ в обслуживании и четыре проблемы с более низким рейтингом, а Praetorian обнаружила две проблемы с низким риском; все проблемы были исправлены при повторном тестировании.

Страница доверия ExpressVPN содержит около 30 отчётов об аудитах в целом, а Cure53 публикует ссылки на свои отчёты об аудитах ExpressVPN открыто, что свидетельствует о выше среднего уровня прозрачности в индустрии VPN.

Политика логирования: что хранится и что не хранится

Политика приватности ExpressVPN ясно указывает, какие данные она собирает. Понимание деталей имеет большее значение, чем маркетинговые обещания.

Данные, которые ExpressVPN НЕ хранит

ExpressVPN не логирует вашу историю просмотра, пункты назначения трафика, DNS-запросы или IP-адрес. Она не записывает временные метки соединения, длительность сеанса или назначенные VPN IP-адреса. Никакое содержание ваших коммуникаций не проходит через какую-либо систему логирования.

Данные, которые ExpressVPN СОБИРАЕТ

ExpressVPN собирает данные о совокупных соединениях: какую версию приложения вы используете, какое местоположение сервера вы выбрали (не конкретный сервер) и общую полосу пропускания, потребленную в день. Эти данные не могут идентифицировать отдельных пользователей или связать активность с конкретными учетными записями. Компания использует эту информацию для поддержания пропускной способности сервера в своей сети из 3000+ серверов.

Ваш адрес электронной почты учетной записи, информация об оплате и история справок службы поддержки хранятся в целях выставления счетов. Пользователи, которые хотят максимальной анонимности, могут платить Bitcoin или использовать одноразовый адрес электронной почты.

Стандарты и протоколы шифрования

ExpressVPN использует шифрование AES-256-GCM в качестве стандарта по умолчанию. Это тот же уровень шифрования, используемый правительством США для засекреченной информации. Взлом AES-256 потребует вычислительную мощность, которая в настоящее время не существует.

Доступные протоколы

ExpressVPN предлагает 4 протокола VPN во всех своих приложениях. Lightway — это фирменный протокол, построенный на wolfSSL и использующий шифрование ChaCha20 или AES-256. OpenVPN работает как через UDP, так и через TCP с AES-256-GCM. IKEv2/IPSec доступен на выбранных платформах для быстрых мобильных соединений.

Lightway заслуживает особого внимания. Его кодовая база содержит примерно 2 000 строк кода, в сравнении с более чем 70 000 строк в OpenVPN. Меньше строк означает меньше потенциальных уязвимостей и более быстрые времена подключения менее чем за 1 секунду. Cure53 и Praetorian провели аудит переписанного на Rust варианта Lightway в 2024 году, а ExpressVPN опубликовал код как открытый исходный код на GitHub.

Идеальная прямая секретность

ExpressVPN согласует новый ключ шифрования для каждого сеанса соединения. Если злоумышленник каким-то образом скомпрометировал один ключ сеанса, прошлые и будущие сеансы остаются защищенными. Эта функция предотвращает массовую ретроактивную расшифровку захваченного трафика.

Kill Switch и защита от утечек DNS

ExpressVPN называет свой kill switch “Network Lock”. Он активируется по умолчанию в Windows, Mac, Linux и маршрутизаторах. Network Lock блокирует весь трафик в Интернет, если соединение VPN неожиданно разрывается.

Network Lock работает на уровне брандмауэра, а не на уровне приложения. Такой подход предотвращает утечки во время кратких окон переподключения, которые часто пропускают kill switch на уровне приложения. Он разрешает трафик только через туннель VPN и на DNS-серверы ExpressVPN.

ExpressVPN работает со своими собственными приватными зашифрованными DNS на каждом сервере. Ваши DNS-запросы никогда не попадают поставщикам DNS третьих сторон, таким как Google или Cloudflare. Это устраняет риск утечки DNS на уровне инфраструктуры, а не полагаясь на исправления программного обеспечения.

Независимые инструменты тестирования постоянно показывают нулевые утечки DNS, нулевые утечки WebRTC и нулевые утечки IPv6 во всех основных приложениях ExpressVPN. Встроенное ПО маршрутизатора расширяет эту защиту на все устройства в вашей сети.

Прошлые инциденты безопасности

Ни один продукт безопасности не существует без тщательной проверки. ExpressVPN столкнулась с двумя примечательными инцидентами, стоящими изучения.

Конфискация сервера в Турции (2017)

Турецкие власти расследовали убийство российского посла Андрея Карлова. Они конфисковали сервер ExpressVPN в поисках коммуникаций подозреваемых. Сервер не содержал никаких полезных данных, что подтверждает инфраструктуру отсутствия логов при реальном давлении правоохранительных органов.

Приобретение Kape Technologies (2021)

Kape Technologies приобрела ExpressVPN примерно за 936 миллионов долларов в сентябре 2021 года. Kape ранее работала как Crossrider, компания, связанная с распространением рекламного ПО до переименования. Это приобретение вызвало законные опасения среди защитников приватности.

ExpressVPN ответил, сохраняя независимость своей деятельности и юрисдикцию BVI. С тех пор ExpressVPN заказал дополнительные проверки, включая отчет KPMG от мая 2025 года без замечаний в отношении логирования активности пользователей, хотя это точечная проверка. Компания сохранила свою команду руководства и продолжила прозрачно публиковать результаты аудитов. Пользователям следует отслеживать будущие аудиты, чтобы убедиться в продолжении независимости.

Уникальные функции безопасности

ExpressVPN предлагает несколько функций безопасности, которые отличают ее от конкурентов с аналогичными стандартами шифрования.

Технология TrustedServer

Каждый сервер ExpressVPN работает полностью на летучей памяти (RAM), а не на жестких дисках. Серверы загружают образ только для чтения при каждой загрузке. Все данные полностью стираются при каждой перезагрузке сервера. Эта архитектура делает постоянное хранилище данных физически невозможным на VPN-серверах.

Threat Manager

Threat Manager блокирует приложениям и веб-сайтам взаимодействие с известными трекерами и вредоносными серверами. Он работает на уровне DNS по всем подключенным устройствам. ExpressVPN регулярно обновляет свои списки блокировок на основе данных об угрозах.

Express Keys (менеджер паролей)

ExpressVPN включает встроенный менеджер паролей, называемый Keys, со всеми подписками. Keys использует шифрование с нулевым знанием, что означает, что ExpressVPN не может получить доступ к вашим сохраненным паролям. Эта интеграция добавляет практическую ценность безопасности за пределами туннеля VPN.

Защита после квантовых вычислений

ExpressVPN реализовала поддержку криптографии после квантовых вычислений в своем протоколе Lightway. Эта функция защищает от будущих атак квантовых компьютеров, которые могли бы взломать текущие стандарты шифрования. Несколько поставщиков VPN реализовали эту защиту по состоянию на текущее тестирование.

Ресурсы для этой страницы

Графики и справочные изображения из наших исследований — просматривайте и делитесь бесплатно.

• 

• Is ExpressVPN Safe? Security, Privacy & Audit AnalysisPDF · 1.2 MB

Часто задаваемые вопросы

ВсеБезопасность и приватностьКак это работаетНастройка и поддержка

Безопасен ли ExpressVPN в целом?

Да. ExpressVPN имеет оценку доверия 86/100, подкреплённую шифрованием AES-256, инфраструктурой TrustedServer только в памяти (RAM) и строгой политикой отсутствия логирования, подтверждённой отчётом об уверенности KPMG Type I от май 2025 г. (без исключений в отношении логирования активности пользователей). Компания зарегистрирована на Британских Виргинских островах, вне альянсов наблюдения 14 Eyes, и её претензия на отсутствие логирования подтвердилась, когда турецкие власти конфисковали сервер в 2017 г. и не обнаружили данные пользователей.

Почему юрисдикция Британских Виргинских островов ExpressVPN имеет значение для приватности пользователя?

БВО не имеют обязательных законов об хранении данных и находятся вне альянсов разведки 5, 9 и 14 Eyes, поэтому запросы иностранных правительств должны получить одобрение Верховного суда БВО перед тем, как достичь ExpressVPN. Эта юридическая защита была проверена непосредственно в 2017 году, когда турецкие власти конфисковали сервер во время политического расследования и не нашли никаких сохраненных данных пользователей.

Какие независимые проверки действительно подтвердили о ExpressVPN?

KPMG выпустила отчет об уверенности Type I от 8 мая 2025 года по TrustedServer на дату 28 февраля 2025 года без исключений по контрольной цели, охватывающей логирование активности пользователей. Он заказан самой ExpressVPN и является точечной проверкой, а не непрерывным мониторингом. Cure53 размещает на своем сайте по крайней мере 16 отчетов о тестировании безопасности ExpressVPN (2018–2026 годы), а Cure53 и Praetorian провели аудит переписи Lightway на языке Rust в 2024 году, все выявленные проблемы исправлены при повторном тестировании.

Какие данные ExpressVPN на самом деле собирает, если она не логирует активность?

ExpressVPN не хранит историю просмотра, IP-адреса, DNS-запросы или временные метки соединения. Она собирает только совокупные данные, не связанные с отдельными учетными записями: версию приложения, общее выбранное местоположение сервера и общую дневную полосу пропускания, используемую исключительно для управления пропускной способностью сервера. Детали выставления счетов, такие как ваш адрес электронной почты и способ платежа, хранятся отдельно; Bitcoin или одноразовый адрес электронной почты еще больше ограничивают этот след.

Чем протокол Lightway компании ExpressVPN отличается от OpenVPN с точки зрения безопасности?

Lightway — это собственный протокол ExpressVPN, построенный на wolfSSL, использующий примерно 2000 строк кода против 70 000+ у OpenVPN, что означает меньше потенциальных уязвимостей и более быстрое время подключения менее одной секунды. Он поддерживает шифрование ChaCha20 или AES-256, использует идеальную прямую секретность для ротации ключей в каждом сеансе, и его переписанную на Rust версию в 2024 году проверили Cure53 и Praetorian.

Действительно ли убивающий выключатель ExpressVPN останавливает утечки при разрыве соединения?

Да. Убивающий выключатель ExpressVPN, называемый Network Lock, активируется по умолчанию в Windows, Mac, Linux и маршрутизаторах и работает на уровне брандмауэра, а не на уровне приложения, закрывая краткие окна переподключения, которые часто упускают коммутаторы уровня приложения. Он блокирует весь трафик, кроме трафика через VPN-туннель и собственные частные DNS-серверы ExpressVPN, и вы можете подтвердить отсутствие утечек DNS, WebRTC или IPv6 с помощью теста утечек.

Должен ли я беспокоиться о том, что ExpressVPN принадлежит Kape Technologies?

Это законный вопрос, который стоит понимать, но не причина для отказа. Kape приобрела ExpressVPN за указанную сумму в сентябре 2021 года и ранее работала под названием Crossrider, компания, связанная с распространением адware. После приобретения ExpressVPN сохранила свою команду руководства, оставалась в юрисдикции BVI и заказала отчет KPMG о политике отсутствия логирования в 2025 году без замечаний относительно логирования активности пользователей, что указывает на сохранение операционной независимости.

Что такое защита после квантовых вычислений и есть ли она на самом деле у ExpressVPN?

Криптография после квантовых вычислений защищает зашифрованный трафик от будущих квантовых компьютеров, достаточно мощных, чтобы взломать текущие стандарты, такие как AES-256. ExpressVPN реализовала поддержку защиты после квантовых вычислений в своем протоколе Lightway, что ставит ее впереди большинства поставщиков VPN, которые еще не добавили этот уровень. Она работает вместе с существующей идеальной прямой секретностью ExpressVPN, которая ротирует ключи шифрования каждый сеанс независимо от риска квантовых вычислений.

Какова политика возврата средств ExpressVPN, если функции безопасности не соответствуют ожиданиям?

ExpressVPN поддерживает каждый план 30-дневной гарантией возврата денег, дающей вам полный месяц для тестирования Network Lock, защиты от утечек DNS и архитектуры TrustedServer на базе ОЗУ перед тем, как взять на себя обязательства. Это соответствует периоду гарантии, предлагаемому NordVPN и ProtonVPN, поэтому проверка заявлений об отсутствии логирования самостоятельно не сопряжена с финансовым риском в течение этого периода.

Сколько устройств защищает одна учетная запись ExpressVPN одновременно?

ExpressVPN охватывает 10–14 одновременных подключений устройств в зависимости от выбранного уровня плана. Каждое подключенное устройство получает одинаковую защиту: шифрование AES-256, kill switch Network Lock на уровне брандмауэра и приватные DNS-серверы ExpressVPN, поэтому домашняя сеть с несколькими телефонами, ноутбуками и установкой маршрутизатора остается защищенной под одной подпиской.

Как я могу подтвердить, что защита от утечек DNS в ExpressVPN работает на моём устройстве?

ExpressVPN использует собственные приватные зашифрованные DNS-серверы на каждом сервере, поэтому ваши запросы никогда не маршрутизируются через сторонних провайдеров, таких как Google или Cloudflare. Запустите проверку утечек с помощью средства проверки утечек DNS во время подключения и убедитесь, что результаты показывают только DNS-серверы ExpressVPN, а не вашего провайдера интернета.

Что происходит с моим трафиком, если ExpressVPN неожиданно разрывает соединение?

Network Lock, kill switch ExpressVPN, блокирует весь трафик в Интернет в момент разрыва соединения VPN, так как он работает на уровне брандмауэра, а не на уровне приложения. Это закрывает краткие окна переподключения, где kill switch на уровне приложения других сервисов может разоблачить ваш реальный IP. Он включен по умолчанию в Windows, Mac, Linux и установках маршрутизатора.

Влияет ли высокая безопасность ExpressVPN на скорость?

Не значительно. ExpressVPN занимает #8 из 22 в нашей Speed Lab, согласно совокупным данным опубликованных сторонних тестов, несмотря на полное шифрование AES-256 и архитектуру только-в-памяти TrustedServer на каждом соединении. Компактная кодовая база Lightway, примерно 2000 строк в сравнении с 70000+ в OpenVPN, помогает компенсировать overhead, который обычно добавляют более тяжелые функции безопасности к пропускной способности.