Чи безпечний ExpressVPN? Аналіз безпеки, конфіденційності та аудитів

Чи безпечний ExpressVPN? Поглиблений огляд безпеки

ExpressVPN отримує 88/100 балів довіри на основі опублікованого звіту KPMG про відсутність журналів, шифрування AES-256 і серверів, що працюють лише в оперативній пам’яті, у 113 країнах. Сервіс працює під юрисдикцією Британських Віргінських островів, поза межами альянсів розвідувального обміну 14 Eyes. Звіт KPMG про гарантії та неодноразові аудити безпеки від Cure53 підтверджують його заяви щодо приватності та безпеки в межах, описаних нижче.

Юрисдикція: чому важливі Британські Віргінські острови

ExpressVPN зареєстрований на Британських Віргінських островах, самоврядній британській заморській території. Британські Віргінські острови не входять до альянсів розвідувального обміну 5 Eyes, 9 Eyes і 14 Eyes. Ми не знайшли первинного джерела щодо правила зберігання даних VPN на Британських Віргінських островах, тому такого твердження не робимо. TorrentFreak повідомляв[1], що ExpressVPN реагує лише на місцеві судові ухвали.

Практичне випробування відбулося у 2017 році. Турецька влада в межах розслідування конфіскувала один із серверів ExpressVPN. Згідно з цим повідомленням, перевірка не дала корисної інформації, а ExpressVPN заявив, що повідомив слідчим про відсутність у нього журналів підключень клієнтів.

Історія незалежних аудитів

ExpressVPN пройшов більше сторонніх аудитів безпеки, ніж більшість конкурентів. Кожен аудит перевіряв різні аспекти заяв сервісу щодо приватності та безпеки.

Звіт KPMG про відсутність журналів

KPMG LLP надала обґрунтовану впевненість відповідно до ISAE (UK) 3000 Type 1 щодо системи TrustedServer ExpressVPN і заяв політики приватності станом на 28 лютого 2025 року[2]. ExpressVPN стверджує, що не виявив проблем щодо технічних захисних механізмів від журналювання активності. Це разовий звіт, замовлений ExpressVPN, а не безперервний моніторинг, і його можна прочитати після прийняття умов KPMG. ExpressVPN називає його другою оцінкою KPMG.

Аудити безпеки Cure53

Cure53, німецька фірма з кібербезпеки, перелічує численні звіти про пентести ExpressVPN у своєму публічному списку звітів[3], зокрема про протокол Lightway (2022 рік і жовтень–листопад 2024 року), прошивку маршрутизатора Aircove (листопад 2024 року), розширення для браузерів та клієнти для Android, iOS, Linux і macOS. Восени 2024 року Cure53 і Praetorian провели аудит переписаного мовою Rust протоколу Lightway від ExpressVPN. Ми не перевіряли повторно кількість критичних знахідок у кожному звіті, тому щодо висновків читайте самі звіти.

Cure53 публікує власні звіти про ExpressVPN у відкритому доступі, що є ознакою прозорості в індустрії VPN, хоча кожне дослідження замовляє ExpressVPN.

Політика журналювання: що зберігається, а що ні

Політика приватності ExpressVPN чітко говорить, які дані він збирає. Розуміння деталей важливіше за маркетингові заяви.

Дані, які ExpressVPN НЕ зберігає

ExpressVPN не веде журнал вашої історії браузування, адрес призначення трафіку, DNS-запитів або IP-адреси. Він не фіксує часові мітки підключень, тривалість сесій чи призначені VPN-IP-адреси. Жодна частина вмісту ваших повідомлень не проходить через систему журналювання.

Дані, які ExpressVPN ДІЙСНО збирає

ExpressVPN збирає агреговані дані про підключення: яку версію застосунку ви використовуєте, яке місцезнаходження сервера ви обрали (не конкретний сервер) і загальний обсяг трафіку за день. Ці дані не можуть ідентифікувати окремих користувачів або пов’язати активність із конкретними обліковими записами. Сервіс використовує їх для підтримки потужності серверів.

Ваша електронна адреса облікового запису, платіжна інформація та історія звернень до служби підтримки зберігаються для цілей виставлення рахунків. Користувачі, які хочуть максимальної анонімності, можуть платити біткоїнами або використовувати одноразову електронну адресу.

Стандарти шифрування та протоколи

ExpressVPN використовує за замовчуванням шифрування AES-256-GCM. AES-256 також є симетричним шифром, зазначеним у наборі алгоритмів CNSA 2.0 АНБ США[4] для систем національної безпеки.

Доступні протоколи

ExpressVPN пропонує 4 VPN-протоколи в своїх застосунках. Lightway — його власний протокол, побудований на wolfSSL і використовує шифрування ChaCha20 або AES-256. OpenVPN працює через UDP і TCP з AES-256-GCM. IKEv2/IPSec доступний на окремих платформах для швидких мобільних підключень.

Lightway заслуговує на особливу увагу. ExpressVPN заявив, що його кодова база значно менша за кодову базу OpenVPN, а менша кодова база дає менше поверхні для аудиту. Cure53 і Praetorian провели аудит переписаної мовою Rust версії Lightway 2024 року, а ExpressVPN опублікував код як відкритий.

Пряма секретність

ExpressVPN заявляє, що узгоджує новий ключ шифрування для кожної сесії підключення, тож компрометація одного ключа сесії не розкриває попередні сесії.

Kill switch і захист від витоку DNS

ExpressVPN називає свій kill switch «Network Lock». Він активується за замовчуванням у Windows, Mac, Linux і на маршрутизаторах. Network Lock блокує весь інтернет-трафік, якщо VPN-з’єднання несподівано розривається.

Network Lock працює на рівні брандмауера, а не застосунку. Такий підхід запобігає витокам під час коротких вікон перепідключення, які засоби kill switch на рівні застосунку часто пропускають. Він дозволяє трафік лише через тунель VPN і до DNS-серверів ExpressVPN.

ExpressVPN запускає власний приватний зашифрований DNS на кожному сервері. Ваші DNS-запити ніколи не проходять через сторонніх DNS-провайдерів на кшталт Google чи Cloudflare. Це усуває ризик витоку DNS на рівні інфраструктури, а не покладається на програмні виправлення.

Незалежні інструменти тестування послідовно показують відсутність витоків DNS, WebRTC і IPv6 у головних застосунках ExpressVPN. Прошивка маршрутизатора поширює цей захист на всі пристрої у вашій мережі.

Минулі інциденти з безпекою

Жоден засіб безпеки не існує без пильної уваги. ExpressVPN стикався з двома помітними інцидентами, які варто розглянути.

Конфіскація сервера в Туреччині (2017)

Турецька влада, що розслідувала вбивство російського посла Андрія Карлова, у січні 2017 року конфіскувала сервер ExpressVPN, нібито[1] тому, що облікові записи Gmail і Facebook убивці були видалені віддалено через підключення ExpressVPN. У повідомленні зазначено, що перевірка не дала корисної інформації. Історія стала публічною в грудні 2017 року.

Придбання Kape Technologies (2021)

Kape Technologies придбала ExpressVPN[5] приблизно за 936 мільйонів доларів у 2021 році. Раніше Kape працювала як Crossrider, компанія, пов’язана з поширенням адware до ребрендингу, і це придбання викликало занепокоєння у прихильників приватності.

Відтоді ExpressVPN замовив подальші перевірки гарантій, зокрема оцінку KPMG станом на лютий 2025 року, хоча це разовий огляд. Користувачам варто стежити за майбутніми аудитами, щоб перевіряти, чи збережені контролі.

Унікальні функції безпеки

ExpressVPN пропонує кілька функцій безпеки, які відрізняють його від конкурентів зі схожими стандартами шифрування.

Технологія TrustedServer

Кожен сервер ExpressVPN працює повністю в оперативній пам’яті (RAM), а не на жорстких дисках. Сервери завантажують образ лише для читання під час кожного запуску. Усі дані повністю стираються під час кожного перезавантаження сервера. Така архітектура фізично унеможливлює постійне зберігання даних на VPN-серверах.

Threat Manager

Threat Manager блокує спробах застосунків і веб-сайтів взаємодіяти з відомими трекерами та шкідливими серверами. Він працює на рівні DNS на всіх підключених пристроях. ExpressVPN регулярно оновлює свої списки блокування на основі даних розвідки загроз.

Express Keys (менеджер паролів)

ExpressVPN включає до всіх підписок вбудований менеджер паролів Keys. Keys використовує шифрування з нульовим знанням, тобто ExpressVPN не може отримати доступ до ваших збережених паролів. Ця інтеграція додає практичну цінність безпеки понад сам VPN-тунель.

Захист від квантових атак

ExpressVPN заявляє, що реалізував підтримку постквантової криптографії в протоколі Lightway, призначеної для майбутніх квантових комп’ютерів, які могли б зламати сучасні методи обміну ключами. Ми незалежно її не тестували.

Посилання

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. Отримано 18 жовтня 2026 р. з https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.Архів: Знімок Wayback Machine
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. Отримано 18 жовтня 2026 р. з https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. б.д. Cure53 – Security assessments for software that matters. Отримано 18 жовтня 2026 р. з https://cure53.de/.Архів: Знімок Wayback Machine
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Архів: Знімок Wayback Machine
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Архів: Знімок Wayback Machine

Ресурси для цієї сторінки

Графіки та довідкові зображення з нашого дослідження, доступні для перегляду та поширення.

• 

• Is ExpressVPN Safe? Security, Privacy & Audit AnalysisАнглійськоюPDF · 0.7 MB

Поширені запитання

ВсіБезпека та приватністьЯк це працюєНалаштування та підтримка

Чи безпечно загалом користуватися ExpressVPN?

Так. ExpressVPN має 88/100 балів довіри, що підкріплено шифруванням AES-256, інфраструктурою TrustedServer лише в RAM і суворою політикою відсутності журналів, яку підтверджує звіт KPMG Type 1 про гарантії станом на лютий 2025 року (обґрунтована впевненість, проблем із захистом від журналювання активності не виявлено). Сервіс зареєстрований на Британських Віргінських островах, поза межами альянсів розвідувального обміну 14 Eyes. ExpressVPN стверджує, що його заява про відсутність журналів витримала перевірку, коли турецька влада конфіскувала сервер у 2017 році, а перевірка не дала корисної інформації.

Чому юрисдикція Британських Віргінських островів важлива для приватності користувачів?

Британські Віргінські острови не входять до альянсів розвідувального обміну 5, 9 і 14 Eyes, а ExpressVPN заявив, що реагує лише на місцеві судові ухвали. Цю позицію було випробувано у 2017 році, коли турецька влада в межах розслідування конфіскувала сервер; за повідомленнями, перевірка не дала корисної інформації.

Що незалежні аудити фактично підтвердили щодо ExpressVPN?

KPMG надала обґрунтовану впевненість відповідно до ISAE (UK) 3000 Type 1 щодо TrustedServer і заяв політики приватності ExpressVPN станом на 28 лютого 2025 року. Звіт замовлено ExpressVPN, і він є разовим, а не безперервним моніторингом. Cure53 перелічує численні звіти про пентести ExpressVPN на власному сайті, а Cure53 і Praetorian у 2024 році провели аудит переписаної мовою Rust версії Lightway.

Які дані ExpressVPN справді збирає, якщо він не веде журнал активності?

ExpressVPN не зберігає історію браузування, IP-адреси, DNS-запити чи часові мітки підключень. Він збирає агреговані дані, не пов’язані з окремими обліковими записами: версію застосунку, загальне обране місцезнаходження сервера і загальний обсяг трафіку за день, виключно для керування потужністю серверів. Платіжні дані, як-от електронна адреса і спосіб оплати, зберігаються окремо; біткоїни або одноразова електронна адреса ще більше обмежують цей слід.

Як протокол Lightway від ExpressVPN порівнюється з OpenVPN з погляду безпеки?

Lightway — власний протокол ExpressVPN, побудований на wolfSSL, з кодовою базою, яка, за словами ExpressVPN, значно менша за OpenVPN, тож для аудиту залишається менше коду. Він підтримує шифрування ChaCha20 або AES-256, а Cure53 і Praetorian провели аудит його переписаної мовою Rust версії у 2024 році.

Чи справді kill switch ExpressVPN запобігає витокам, якщо з’єднання розривається?

Так. Kill switch ExpressVPN, який називається Network Lock, активується за замовчуванням у Windows, Mac, Linux і на маршрутизаторах, і працює на рівні брандмауера, а не застосунку, закриваючи короткі вікна перепідключення, які засоби kill switch на рівні застосунку часто пропускають. Він блокує весь трафік, крім проходження через тунель VPN і приватні DNS-сервери ExpressVPN, а перевірити відсутність витоків DNS, WebRTC чи IPv6 можна за допомогою тесту на витоки.

Чи варто турбуватися, що ExpressVPN належить Kape Technologies?

Це законне питання, яке варто зрозуміти, але воно не є вирішальним. Kape придбала ExpressVPN за, за повідомленнями, 936 мільйонів доларів у 2021 році і раніше працювала як Crossrider, компанія, пов’язана з адware. Відтоді ExpressVPN зберіг юрисдикцію Британських Віргінських островів і замовив оцінку KPMG станом на лютий 2025 року, але це разовий огляд, тож слідкуйте за майбутніми аудитами.

Що таке захист від квантових атак і чи справді він є в ExpressVPN?

Постквантова криптографія захищає зашифрований трафік від майбутніх квантових комп’ютерів, достатньо потужних, щоб зламати сучасні стандарти на кшталт AES-256. ExpressVPN заявляє, що реалізував підтримку захисту від квантових атак у протоколі Lightway. Вона працює разом із прямою секретністю, яка генерує нові ключі сесій.

Яка політика повернення коштів ExpressVPN, якщо функції безпеки не відповідають очікуванням?

ExpressVPN надає на кожен тариф гарантію повернення коштів протягом 30 днів, що дає вам повний місяць, щоб протестувати Network Lock, захист від витоку DNS і архітектуру TrustedServer лише в RAM, перш ніж ухвалювати рішення. Це відповідає терміну гарантії, який пропонують NordVPN і ProtonVPN, тож перевірка заяв про відсутність журналів самостійно не несе фінансового ризику протягом цього періоду.

Скільки пристроїв один обліковий запис ExpressVPN може захистити одночасно?

ExpressVPN підтримує від 10 до 14 одночасних підключень пристроїв залежно від обраного тарифу. Кожен підключений пристрій отримує однаковий захист: шифрування AES-256, kill switch на рівні брандмауера Network Lock і приватні DNS-сервери ExpressVPN, тож домогосподарство з кількома телефонами, ноутбуками та маршрутизатором залишається захищеним за однією підпискою.

Як перевірити, що захист від витоку DNS ExpressVPN справді працює на моєму пристрої?

ExpressVPN запускає власний приватний зашифрований DNS на кожному сервері, тож ваші запити ніколи не проходять через сторонніх провайдерів на кшталт Google чи Cloudflare. Під час підключення виконайте тест на витік через перевірку витоку DNS і переконайтеся, що результати показують лише DNS-сервери ExpressVPN, а не вашого інтернет-провайдера.

Що станеться з моїм трафіком, якщо ExpressVPN несподівано відключиться?

Network Lock, kill switch ExpressVPN, блокує весь інтернет-трафік у момент розриву VPN-з’єднання, оскільки працює на рівні брандмауера, а не застосунку. Це закриває короткі вікна перепідключення, коли kill switch на рівні застосунку інших сервісів може розкрити вашу справжню IP-адресу. Він увімкнений за замовчуванням у Windows, Mac, Linux і на встановленнях на маршрутизаторі.

Чи коштує сильна безпека ExpressVPN швидкості?

Не суттєво. ExpressVPN посідає #2 місце із 22 за нашим показником довіри, який агрегується з опублікованих сторонніх тестів, попри повне шифрування AES-256 і архітектуру TrustedServer лише в RAM на кожному підключенні. Кодова база Lightway, яка, за словами ExpressVPN, значно менша за OpenVPN, розроблена так, щоб компенсувати частину накладних витрат, які важчі функції безпеки додають до пропускної здатності.