ExpressVPN Có An Toàn Không? Phân Tích Bảo Mật, Quyền Riêng Tư & Kiểm Toán

ExpressVPN Có An Toàn Không? Phân Tích Bảo Mật Chuyên Sâu

ExpressVPN đạt điểm tin cậy 85/100 dựa trên báo cáo đảm bảo không lưu nhật ký của KPMG được công bố, mã hóa AES-256 và máy chủ chỉ RAM trên 105 quốc gia. Nó hoạt động theo quyền hạn của Quần đảo British Virgin Islands, ngoài các liên minh giám sát 14 Eyes. Báo cáo đảm bảo KPMG và các cuộc kiểm toán bảo mật Cure53 lặp đi lặp lại hỗ trợ các yêu cầu bảo mật và riêng tư của nó, trong những hạn chế được mô tả dưới đây.

Quản Thứ: Tại Sao Quần Đảo British Virgin Lại Quan Trọng

ExpressVPN được thành lập tại Quần đảo British Virgin, một lãnh thổ Anh vượt biển tự quản. BVI không có luật yêu cầu lưu giữ dữ liệu bắt buộc cho các nhà cung cấp VPN. Sự thật này định hình cách ExpressVPN phản ứng với các yêu cầu dữ liệu của chính phủ.

BVI nằm ngoài các liên minh chia sẻ thông tin tình báo 5 Eyes, 9 Eyes và 14 Eyes. Các yêu cầu của chính phủ nước ngoài phải đi qua Tòa án Cao Đẳng BVI trước khi tiếp cận ExpressVPN. BVI không có nghĩa vụ pháp lý để tuân theo các giấy tờ nước ngoài hoặc các lệnh giám sát trực tiếp.

Lợi thế quản thứ này được chứng minh là thực tế vào năm 2017. Các chính quyền Thổ Nhĩ Kỳ đã tịch thu máy chủ ExpressVPN trong một cuộc điều tra chính trị. Máy chủ không chứa dữ liệu người dùng nào, xác nhận chính sách không giữ nhật ký hoạt động dưới áp lực chính phủ thực tế.

Lịch Sử Kiểm Toán Độc Lập

ExpressVPN đã hoàn thành nhiều kiểm toán bảo mật của bên thứ ba hơn hầu hết các đối thủ cạnh tranh. Mỗi kiểm toán đã kiểm tra các khía cạnh khác nhau của các yêu cầu về quyền riêng tư và bảo mật của dịch vụ.

Báo cáo Đảm bảo Không Ghi Nhật Ký của KPMG

KPMG LLP (UK) đã phát hành báo cáo đảm bảo hợp lý theo tiêu chuẩn ISAE (UK) 3000 Loại I vào ngày 8 tháng 5 năm 2025 về TrustedServer của ExpressVPN, tính đến ngày 28 tháng 2 năm 2025, không có ngoại lệ nào đối với mục tiêu kiểm soát liên quan đến ghi nhật ký hoạt động của người dùng. Đây là một báo cáo tại một thời điểm do ExpressVPN ủy thác, không phải giám sát liên tục, và có thể đọc được sau khi chấp nhận các điều khoản của KPMG. ExpressVPN cho biết nó cũng đã ủy thác các cuộc tham gia đảm bảo trước đó.

Cure53 Security Audits

Cure53, một công ty an ninh mạng uy tín của Đức, liên kết ít nhất 16 báo cáo kiểm thử xâm nhập ExpressVPN (2018 đến 2026) trên chính trang web của mình, bao gồm ứng dụng, tiện ích mở rộng, bộ định tuyến, giao thức Lightway và TrustedServer. Vào mùa thu năm 2024, Cure53 và Praetorian đều đã kiểm toán bản viết lại Lightway bằng Rust của ExpressVPN. Cure53 phát hiện một lỗi từ chối dịch vụ mức nghiêm trọng cao và bốn lỗi được xếp hạng thấp hơn, còn Praetorian phát hiện hai lỗi rủi ro thấp, tất cả đều được khắc phục sau khi kiểm tra lại.

Trang tin tưởng của ExpressVPN liệt kê khoảng 30 báo cáo kiểm toán, và Cure53 liên kết các báo cáo ExpressVPN của riêng họ công khai, điều này cho thấy mức độ minh bạch cao hơn mức trung bình đối với ngành VPN.

Chính Sách Giữ Nhật Ký: Dữ Liệu Nào Được Lưu Trữ và Không

Chính sách bảo mật của ExpressVPN nêu rõ dữ liệu nào được thu thập. Hiểu các chi tiết cụ thể quan trọng hơn so với các yêu cầu tiếp thị.

Dữ Liệu ExpressVPN KHÔNG Lưu Trữ

ExpressVPN không ghi lại lịch sử duyệt web, đích đến lưu lượng, truy vấn DNS hoặc địa chỉ IP của bạn. Nó không ghi lại dấu thời gian kết nối, thời lượng phiên hoặc địa chỉ IP VPN được gán. Không có nội dung thông tin liên lạc của bạn đi qua bất kỳ hệ thống ghi nhật ký nào.

Dữ Liệu ExpressVPN THỰC SỰ Thu Thập

ExpressVPN thu thập dữ liệu kết nối tổng hợp: phiên bản ứng dụng nào bạn sử dụng, vị trí máy chủ nào bạn chọn (không phải máy chủ cụ thể) và tổng băng thông được sử dụng mỗi ngày. Dữ liệu này không thể xác định người dùng riêng lẻ hoặc liên kết hoạt động với các tài khoản cụ thể. Nó sử dụng thông tin này để duy trì dung lượng máy chủ trên mạng máy chủ 3.000+ của nó.

Email tài khoản, thông tin thanh toán và lịch sử vé hỗ trợ của bạn được lưu trữ cho mục đích thanh toán. Những người dùng muốn ẩn danh tối đa có thể thanh toán bằng Bitcoin hoặc sử dụng địa chỉ email dùng một lần.

Tiêu Chuẩn Mã Hóa và Giao Thức

ExpressVPN sử dụng mã hóa AES-256-GCM làm tiêu chuẩn mặc định của nó. Đây là mức mã hóa tương tự được chính phủ Hoa Kỳ sử dụng cho thông tin được phân loại. Phá vỡ AES-256 sẽ yêu cầu sức mạnh tính toán hiện không tồn tại.

Các Giao Thức Có Sẵn

ExpressVPN cung cấp 4 giao thức VPN trên các ứng dụng của nó. Lightway là giao thức độc quyền của nó, được xây dựng trên wolfSSL và sử dụng mã hóa ChaCha20 hoặc AES-256. OpenVPN chạy qua UDP và TCP với AES-256-GCM. IKEv2/IPSec có sẵn trên các nền tảng chọn lọc để kết nối di động nhanh.

Lightway xứng đáng được chú ý đặc biệt. Codebase của nó chứa khoảng 2.000 dòng code, so với 70.000+ của OpenVPN. Ít dòng code hơn có nghĩa là ít lỗ hổng tiềm ẩn hơn và thời gian kết nối nhanh hơn dưới 1 giây. Cure53 và Praetorian đã kiểm toán bản viết lại Rust của Lightway năm 2024, và ExpressVPN đã công bố code dưới dạng open source trên GitHub.

Bảo Mật Hoàn Hảo Về Tính Bảo Mật

ExpressVPN thương lượng một khóa mã hóa mới cho mỗi phiên kết nối. Nếu kẻ tấn công bằng cách nào đó đã xâm phạm một khóa phiên, các phiên trong quá khứ và tương lai vẫn được bảo vệ. Tính năng này ngăn chặn giải mã hàng loạt hồi cứu của lưu lượng bắt được.

Kill Switch và Bảo Vệ Rò Rỉ DNS

ExpressVPN gọi kill switch của nó là “Network Lock”. Nó kích hoạt theo mặc định trên Windows, Mac, Linux và bộ định tuyến. Network Lock chặn tất cả lưu lượng internet nếu kết nối VPN bị ngắt bất ngờ.

Network Lock hoạt động ở cấp tường lửa, không phải cấp ứng dụng. Cách tiếp cận này ngăn chặn rò rỉ trong cửa sổ kết nối lại ngắn mà kill switch cấp ứng dụng thường bỏ lỡ. Nó chỉ cho phép lưu lượng thông qua đường hầm VPN và đến các máy chủ DNS của ExpressVPN.

ExpressVPN chạy DNS riêng được mã hóa trên mỗi máy chủ. Các truy vấn DNS của bạn không bao giờ chạm vào các nhà cung cấp DNS của bên thứ ba như Google hoặc Cloudflare. Điều này loại bỏ rủi ro rò rỉ DNS ở cấp cơ sở hạ tầng thay vì dựa vào các bản vá phần mềm.

Các công cụ kiểm tra độc lập liên tục cho thấy không có rò rỉ DNS, không có rò rỉ WebRTC và không có rò rỉ IPv6 trên các ứng dụng chính của ExpressVPN. Cập nhật cơ sở hạ tầng bộ định tuyến mở rộng bảo vệ này cho mọi thiết bị trên mạng của bạn.

Các Sự Cố Bảo Mật Trong Quá Khứ

Không có sản phẩm bảo mật nào tồn tại mà không có sự xem xét. ExpressVPN đã phải đối mặt với hai sự cố đáng chú ý cần kiểm tra.

Việc Tịch Thu Máy Chủ Thổ Nhĩ Kỳ (2017)

Các chính quyền Thổ Nhĩ Kỳ đã điều tra vụ ám sát Đại sứ Nga Andrei Karlov. Họ đã tịch thu máy chủ ExpressVPN để tìm kiếm thông tin liên lạc của các nghi phạm. Máy chủ không chứa dữ liệu hữu ích nào, xác thực cơ sở hạ tầng không giữ nhật ký dưới áp lực thực tế của cơ quan thực thi pháp luật.

Việc Mua Lại Kape Technologies (2021)

Kape Technologies đã mua lại ExpressVPN với giá khoảng 936 triệu đô la vào tháng Chín năm 2021. Kape trước đây hoạt động dưới tên Crossrider, một công ty được liên kết với phân phối adware trước khi thay đổi tên thương hiệu. Việc mua lại này đã làm dấy lên những lo ngại chính đáng trong số các nhà bảo vệ quyền riêng tư.

ExpressVPN đã phản ứng bằng cách duy trì hoạt động độc lập và quyền tài phán BVI của mình. ExpressVPN sau đó đã ủy thác thêm công việc đảm bảo, bao gồm báo cáo KPMG có ngày tháng 5 năm 2025 không có ngoại lệ về ghi nhật ký hoạt động của người dùng, mặc dù đó là một bài kiểm tra tại một thời điểm. Công ty đã giữ lại nhóm lãnh đạo của mình và tiếp tục công bố các kết quả kiểm toán một cách minh bạch. Người dùng nên theo dõi các bài kiểm toán trong tương lai để xác minh tính độc lập liên tục.

Các Tính Năng Bảo Mật Độc Đáo

ExpressVPN cung cấp một số tính năng bảo mật phân biệt nó với các đối thủ cạnh tranh có các tiêu chuẩn mã hóa tương tự.

Công Nghệ TrustedServer

Mỗi máy chủ ExpressVPN chạy hoàn toàn trên RAM bay hơi, không phải ổ cứng. Máy chủ tải hình ảnh chỉ đọc ở mỗi lần khởi động. Tất cả dữ liệu được xóa hoàn toàn với mỗi lần khởi động lại máy chủ. Kiến trúc này làm cho lưu trữ dữ liệu liên tục về mặt vật lý không thể trên các máy chủ VPN.

Trình Quản Lý Mối Đe Dọa

Threat Manager chặn các ứng dụng và trang web khỏi liên lạc với các trình theo dõi được biết đến và các máy chủ độc hại. Nó hoạt động ở cấp DNS trên tất cả các thiết bị được kết nối. ExpressVPN cập nhật danh sách chặn của nó thường xuyên dựa trên dữ liệu thông tin tình báo về mối đe dọa.

Express Keys (Trình Quản Lý Mật Khẩu)

ExpressVPN đi kèm với một trình quản lý mật khẩu tích hợp gọi là Keys với tất cả các gói đăng ký. Keys sử dụng mã hóa không kiến thức, có nghĩa là ExpressVPN không thể truy cập các mật khẩu được lưu trữ của bạn. Sự tích hợp này thêm giá trị bảo mật thực tế ngoài đường hầm VPN.

Bảo Vệ Sau Lượng Tử

ExpressVPN đã triển khai hỗ trợ mã hóa sau lượng tử trong giao thức Lightway của nó. Tính năng này bảo vệ chống lại các cuộc tấn công máy tính lượng tử trong tương lai có thể phá vỡ các tiêu chuẩn mã hóa hiện tại. Rất ít nhà cung cấp VPN đã triển khai bảo vệ này tính đến thời điểm kiểm tra hiện tại.

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ nghiên cứu của chúng tôi, miễn phí xem và chia sẻ.

• 

Câu Hỏi Thường Gặp

Tất cảAn toàn & Quyền riêng tưCách hoạt độngCài đặt & Hỗ trợ

ExpressVPN có an toàn để sử dụng không?

Có. ExpressVPN đạt điểm tin cậy 85/100, được hỗ trợ bởi mã hóa AES-256, cơ sở hạ tầng TrustedServer chỉ RAM và chính sách không ghi nhật ký nghiêm ngặt được xác nhận bởi báo cáo bảo đảm Loại I của KPMG ngày tháng 5 năm 2025 (không có ngoại lệ đối với việc ghi nhật ký hoạt động của người dùng). Nó được thành lập ở Quần đảo Virgin Anh, ngoài liên minh giám sát 14 Mắt, và tuyên bố không ghi nhật ký của nó đã được chứng minh khi chính quyền Thổ Nhĩ Kỳ tịch thu máy chủ năm 2017 và không tìm thấy dữ liệu người dùng nào.

Tại Sao Quyền Tài Phán Quần Đảo British Virgin Của ExpressVPN Quan Trọng Với Quyền Riêng Tư Của Người Dùng?

BVI không có luật yêu cầu lưu giữ dữ liệu bắt buộc và nằm ngoài các liên minh chia sẻ thông tin tình báo 5, 9 và 14 Eyes, do đó các yêu cầu của chính phủ nước ngoài phải được xóa qua Tòa án Cao Đẳng BVI trước khi tiếp cận ExpressVPN. Lợi thế pháp lý đó được kiểm chứng trực tiếp vào năm 2017, khi các chính quyền Thổ Nhĩ Kỳ tịch thu một máy chủ trong cuộc điều tra chính trị và không tìm thấy dữ liệu người dùng được lưu trữ.

Các cuộc kiểm toán độc lập thực sự đã xác minh điều gì về ExpressVPN?

KPMG đã phát hành báo cáo bảo đảm Loại I có ngày 8 tháng 5 năm 2025 về TrustedServer, tính đến ngày 28 tháng 2 năm 2025, không có ngoại lệ nào trong mục tiêu kiểm soát bao gồm ghi nhật ký hoạt động của người dùng. Báo cáo này được ExpressVPN yêu cầu và chỉ là một thời điểm, không phải giám sát liên tục. Cure53 liên kết ít nhất 16 báo cáo pentest của ExpressVPN (2018 đến 2026) trên trang web của họ, và Cure53 cùng với Praetorian đã kiểm toán việc viết lại Rust của Lightway vào năm 2024, với tất cả các phát hiện được khắc phục khi kiểm tra lại.

Nếu ExpressVPN Không Ghi Nhật Ký Hoạt Động Thì Nó Thực Sự Thu Thập Dữ Liệu Gì?

ExpressVPN không lưu trữ lịch sử duyệt web, địa chỉ IP, truy vấn DNS hoặc dấu thời gian kết nối. Nó thu thập dữ liệu tổng hợp không được liên kết với các tài khoản riêng lẻ: phiên bản ứng dụng, vị trí máy chủ chung được chọn và tổng băng thông hàng ngày được sử dụng, hoàn toàn để quản lý dung lượng máy chủ. Chi tiết thanh toán như email và phương thức thanh toán của bạn được lưu giữ riêng; Bitcoin hoặc địa chỉ email dùng một lần giới hạn dấu chân đó thêm nữa.

Lightway của ExpressVPN so sánh với OpenVPN như thế nào về bảo mật?

Lightway là giao thức độc quyền của ExpressVPN được xây dựng trên wolfSSL, sử dụng khoảng 2.000 dòng mã so với 70.000+ của OpenVPN, có nghĩa là có ít lỗ hổng tiềm ẩn hơn và thời gian kết nối nhanh hơn dưới một giây. Nó hỗ trợ mã hóa ChaCha20 hoặc AES-256, sử dụng perfect forward secrecy để xoay khóa cho mỗi phiên, và Cure53 cũng như Praetorian đã kiểm toán lại viết bằng Rust của nó vào năm 2024.

Công tắc kill switch của ExpressVPN có thực sự ngăn chặn rò rỉ nếu kết nối bị ngắt không?

Có. Công tắc kill switch của ExpressVPN, gọi là Network Lock, kích hoạt theo mặc định trên Windows, Mac, Linux và bộ định tuyến, và hoạt động ở cấp tường lửa chứ không phải ở cấp ứng dụng, đóng các cửa sổ kết nối lại ngắn mà các công tắc ở cấp ứng dụng thường bỏ lỡ. Nó chặn tất cả lưu lượng ngoại trừ thông qua đường hầm VPN và máy chủ DNS riêng của ExpressVPN, và bạn có thể xác nhận không có rò rỉ DNS, WebRTC hoặc IPv6 bằng kiểm tra rò rỉ.

Tôi có nên lo lắng về việc Kape Technologies sở hữu ExpressVPN không?

Đây là một câu hỏi hợp lệ và đáng để hiểu rõ, nhưng không phải là vấn đề lớn. Kape đã mua lại ExpressVPN với một khoản tiền được báo cáo vào tháng Chín 2021 và trước đây hoạt động dưới tên Crossrider, một công ty liên quan đến phần mềm quảng cáo. Kể từ khi được mua lại, ExpressVPN đã giữ lại đội lãnh đạo của mình, duy trì quyền tài phán BVI, và đã huy động một báo cáo đảm bảo không ghi log của KPMG vào năm 2025 mà không có ngoại lệ nào về ghi nhật ký hoạt động của người dùng, cho thấy tính độc lập hoạt động vẫn được duy trì.

Bảo Vệ Sau Lượng Tử Là Gì Và ExpressVPN Có Nó Không?

Mã hóa sau lượng tử bảo vệ lưu lượng được mã hóa chống lại các máy tính lượng tử trong tương lai đủ mạnh để phá vỡ các tiêu chuẩn hiện tại như AES-256. ExpressVPN đã triển khai hỗ trợ bảo vệ sau lượng tử trong giao thức Lightway của nó, đặt nó trước hầu hết các nhà cung cấp VPN chưa thêm lớp này. Nó hoạt động cùng với bảo mật hoàn hảo về tính bảo mật hiện có của ExpressVPN, xoay khóa mã hóa mỗi phiên bất kể rủi ro lượng tử.

Chính sách hoàn tiền của ExpressVPN nếu các tính năng bảo mật không đáp ứng kỳ vọng?

ExpressVPN hỗ trợ mọi gói với bảo đảm hoàn tiền 30 ngày, cho phép bạn có một tháng để kiểm tra Network Lock, bảo vệ rò rỉ DNS và kiến trúc RAM-only của TrustedServer trước khi cam kết. Điều này phù hợp với cửa sổ bảo đảm được cung cấp bởi NordVPN và ProtonVPN, vì vậy kiểm tra các yêu cầu không log của riêng bạn không có rủi ro tài chính trong khoảng thời gian đó.

Một Tài Khoản ExpressVPN Bảo Vệ Bao Nhiêu Thiết Bị Cùng Một Lúc?

ExpressVPN bao gồm 10 đến 14 kết nối thiết bị đồng thời tùy thuộc vào tầng gói bạn chọn. Mỗi thiết bị được kết nối nhận cùng các bảo vệ: mã hóa AES-256, kill switch cấp tường lửa của Network Lock và máy chủ DNS riêng của ExpressVPN, do đó một hộ gia đình chạy nhiều điện thoại, máy tính xách tay và thiết lập bộ định tuyến vẫn được bảo vệ theo một đăng ký.

Làm cách nào để xác nhận rằng bảo vệ DNS leak của ExpressVPN đang hoạt động trên thiết bị của tôi?

ExpressVPN chạy DNS riêng, được mã hóa trên mọi máy chủ, do đó các truy vấn của bạn không bao giờ được định tuyến qua các nhà cung cấp DNS của bên thứ ba như Google hoặc Cloudflare. Chạy bài kiểm tra rò rỉ qua công cụ kiểm tra DNS leak trong khi đã kết nối và xác nhận rằng kết quả chỉ hiển thị các máy chủ DNS của riêng ExpressVPN, không phải của nhà cung cấp dịch vụ internet của bạn.

Điều Gì Xảy Ra Với Lưu Lượng Của Tôi Nếu ExpressVPN Ngắt Kết Nối Bất Ngờ?

Network Lock, kill switch của ExpressVPN, chặn tất cả lưu lượng internet vào lúc kết nối VPN bị ngắt, vì nó hoạt động ở cấp tường lửa thay vì cấp ứng dụng. Điều đó đóng những cửa sổ kết nối lại ngắn nơi các công tắc kill switch cấp ứng dụng trên các dịch vụ khác có thể rò rỉ địa chỉ IP thực tế của bạn. Nó được bật theo mặc định trên các cài đặt Windows, Mac, Linux và bộ định tuyến.

Bảo mật mạnh của ExpressVPN có ảnh hưởng đến tốc độ không?

Không đáng kể. ExpressVPN xếp hạng #8 trong 22 trong Speed Lab của chúng tôi, được tổng hợp từ các bài kiểm tra của bên thứ ba được công bố, mặc dù chạy mã hóa AES-256 đầy đủ cộng với kiến trúc TrustedServer chỉ dùng RAM trên mỗi kết nối. Codebase gọn nhẹ của Lightway, khoảng 2.000 dòng so với 70.000+ của OpenVPN, giúp bù đắp cho chi phí mà các tính năng bảo mật nặng nề thường thêm vào thông lượng.