ExpressVPN có an toàn không? Phân tích bảo mật, quyền riêng tư và kiểm toán

ExpressVPN có an toàn không? Phân tích chuyên sâu về bảo mật

ExpressVPN đạt điểm tin cậy 88/100 dựa trên báo cáo đảm bảo không lưu nhật ký đã được KPMG công bố, mã hóa AES-256 và các máy chủ chỉ chạy trên RAM tại 113 quốc gia. Dịch vụ hoạt động theo quyền tài phán của Quần đảo Virgin thuộc Anh, nằm ngoài các liên minh tình báo 14 Eyes. Báo cáo đảm bảo của KPMG và các đợt kiểm toán bảo mật Cure53 lặp lại hỗ trợ cho các tuyên bố về quyền riêng tư và bảo mật của dịch vụ, trong giới hạn được mô tả dưới đây.

Quyền tài phán: Vì sao Quần đảo Virgin thuộc Anh quan trọng

ExpressVPN được thành lập tại Quần đảo Virgin thuộc Anh, một Lãnh thổ hải ngoại tự quản của Anh, và BVI nằm ngoài các liên minh chia sẻ tình báo 5 Eyes, 9 Eyes và 14 Eyes. Chúng tôi không tìm thấy nguồn chính nào cho quy định lưu giữ dữ liệu VPN của BVI, nên chúng tôi không khẳng định điều đó. TorrentFreak đưa tin[1] rằng ExpressVPN chỉ phản hồi các lệnh của tòa án địa phương.

Phép thử thực tế diễn ra vào năm 2017. Chính quyền Thổ Nhĩ Kỳ đã thu giữ một máy chủ ExpressVPN trong một cuộc điều tra. Theo báo cáo đó, việc kiểm tra không cho ra thông tin hữu ích nào, và ExpressVPN nói rằng họ đã thông báo với điều tra viên rằng họ chưa bao giờ sở hữu nhật ký kết nối của khách hàng.

Lịch sử kiểm toán độc lập

ExpressVPN đã hoàn thành nhiều đợt kiểm toán bảo mật của bên thứ ba hơn hầu hết các đối thủ. Mỗi đợt kiểm toán xem xét những khía cạnh khác nhau trong các tuyên bố về quyền riêng tư và bảo mật của dịch vụ.

Báo cáo đảm bảo không lưu nhật ký của KPMG

KPMG LLP đã đưa ra mức đảm bảo hợp lý, theo ISAE (UK) 3000 Type 1, đối với hệ thống TrustedServer và các tuyên bố trong chính sách quyền riêng tư của ExpressVPN tính đến ngày 28 tháng 2 năm 2025[2], và ExpressVPN cho biết họ không phát hiện vấn đề nào liên quan đến các biện pháp bảo vệ kỹ thuật chống ghi nhật ký hoạt động. Đây là báo cáo tại một thời điểm do ExpressVPN ủy thác, không phải giám sát liên tục, và có thể đọc sau khi chấp nhận điều khoản của KPMG. ExpressVPN mô tả đây là lần đánh giá thứ hai của KPMG dành cho họ.

Các đợt kiểm toán bảo mật của Cure53

Cure53, một công ty an ninh mạng Đức, liệt kê nhiều báo cáo kiểm thử xâm nhập của ExpressVPN trong danh sách báo cáo công khai[3], bao gồm giao thức Lightway (năm 2022 và từ tháng 10 đến tháng 11 năm 2024), phần mềm firmware router Aircove (tháng 11 năm 2024), tiện ích mở rộng trình duyệt và các ứng dụng khách trên Android, iOS, Linux và macOS. Vào mùa thu năm 2024, Cure53 và Praetorian đều đã kiểm toán bản viết lại bằng Rust của Lightway thuộc ExpressVPN. Chúng tôi chưa kiểm tra lại số lượng mức độ nghiêm trọng của từng lỗi trong mỗi báo cáo, vì vậy hãy đọc trực tiếp các báo cáo để biết các phát hiện.

Cure53 công bố báo cáo riêng của họ về ExpressVPN một cách công khai, đây là một dấu hiệu minh bạch hiếm thấy trong ngành VPN, dù mọi hợp đồng đều do ExpressVPN ủy thác.

Chính sách ghi nhật ký: Những gì được lưu trữ và những gì không

Chính sách quyền riêng tư của ExpressVPN nêu rõ dữ liệu nào họ thu thập. Hiểu các chi tiết quan trọng hơn những lời quảng cáo.

Dữ liệu ExpressVPN KHÔNG lưu trữ

ExpressVPN không ghi lại lịch sử duyệt web, địa chỉ đích của lưu lượng, truy vấn DNS hay địa chỉ IP của bạn. Họ không ghi lại dấu thời gian kết nối, thời lượng phiên hay địa chỉ IP VPN được cấp. Không có nội dung liên lạc nào của bạn đi qua bất kỳ hệ thống ghi nhật ký nào.

Dữ liệu ExpressVPN CÓ thu thập

ExpressVPN thu thập dữ liệu kết nối tổng hợp: bạn dùng phiên bản ứng dụng nào, bạn chọn vị trí máy chủ nào (chỉ vị trí chung, không phải máy chủ cụ thể) và tổng băng thông tiêu thụ mỗi ngày. Dữ liệu này không thể nhận diện từng người dùng hay liên kết hoạt động với tài khoản cụ thể. Họ dùng thông tin này để duy trì công suất máy chủ.

Email tài khoản, thông tin thanh toán và lịch sử yêu cầu hỗ trợ của bạn được lưu để phục vụ thanh toán. Những người dùng muốn ẩn danh tối đa có thể thanh toán bằng Bitcoin hoặc dùng địa chỉ email dùng một lần.

Tiêu chuẩn mã hóa và giao thức

ExpressVPN dùng mã hóa AES-256-GCM làm tiêu chuẩn mặc định. AES-256 cũng là mật mã đối xứng được quy định trong bộ thuật toán CNSA 2.0 của NSA[4] dành cho các hệ thống an ninh quốc gia.

Các giao thức sẵn có

ExpressVPN cung cấp 4 giao thức VPN trên các ứng dụng của mình. Lightway là giao thức độc quyền của họ, được xây dựng trên wolfSSL và sử dụng mã hóa ChaCha20 hoặc AES-256. OpenVPN chạy trên cả UDP và TCP với AES-256-GCM. IKEv2/IPSec có sẵn trên một số nền tảng để kết nối di động nhanh.

Lightway đáng được chú ý đặc biệt. ExpressVPN cho biết mã nguồn của họ nhỏ hơn đáng kể so với OpenVPN, và mã nguồn nhỏ hơn đồng nghĩa với ít bề mặt cần kiểm toán hơn. Cure53 và Praetorian đã kiểm toán bản viết lại bằng Rust năm 2024 của Lightway, và ExpressVPN đã công bố mã nguồn này dưới dạng mã nguồn mở.

Bảo mật chuyển tiếp hoàn hảo

ExpressVPN cho biết họ thương lượng một khóa mã hóa mới cho mỗi phiên kết nối, nên việc làm lộ một khóa phiên sẽ không làm lộ các phiên trước đó.

Kill switch và bảo vệ rò rỉ DNS

ExpressVPN gọi kill switch của mình là “Network Lock”. Tính năng này được kích hoạt mặc định trên Windows, Mac, Linux và router. Network Lock chặn toàn bộ lưu lượng internet nếu kết nối VPN bị gián đoạn bất ngờ.

Network Lock hoạt động ở cấp tường lửa, không phải cấp ứng dụng. Cách tiếp cận này ngăn rò rỉ trong các khoảng thời gian kết nối lại ngắn mà kill switch cấp ứng dụng thường bỏ sót. Nó chỉ cho phép lưu lượng đi qua đường hầm VPN và tới các máy chủ DNS của ExpressVPN.

ExpressVPN chạy DNS riêng, được mã hóa của chính họ trên mọi máy chủ. Các truy vấn DNS của bạn không bao giờ đi qua nhà cung cấp DNS bên thứ ba như Google hay Cloudflare. Điều này loại bỏ rủi ro rò rỉ DNS ở cấp hạ tầng thay vì phụ thuộc vào các bản vá phần mềm.

Các công cụ kiểm thử độc lập liên tục cho thấy không có rò rỉ DNS, không có rò rỉ WebRTC và không có rò rỉ IPv6 trên các ứng dụng chính của ExpressVPN. Firmware router mở rộng sự bảo vệ này tới mọi thiết bị trong mạng của bạn.

Các sự cố bảo mật trong quá khứ

Không có sản phẩm bảo mật nào thoát khỏi sự soi xét. ExpressVPN từng đối mặt với hai sự cố đáng chú ý.

Vụ thu giữ máy chủ ở Thổ Nhĩ Kỳ (2017)

Chính quyền Thổ Nhĩ Kỳ điều tra vụ ám sát Đại sứ Nga Andrei Karlov đã thu giữ một máy chủ ExpressVPN vào tháng 1 năm 2017, theo báo cáo[1] vì tài khoản Gmail và Facebook của kẻ ám sát đã bị xóa từ xa qua một kết nối ExpressVPN. Báo cáo cho biết việc kiểm tra không cho ra thông tin hữu ích nào. Câu chuyện được công bố vào tháng 12 năm 2017.

Vụ mua lại bởi Kape Technologies (2021)

Kape Technologies đã mua lại ExpressVPN[5] với giá khoảng 936 triệu USD vào năm 2021. Trước khi đổi tên, Kape từng hoạt động dưới tên Crossrider, một công ty liên quan đến việc phát tán adware, và thương vụ này đã làm dấy lên lo ngại trong giới ủng hộ quyền riêng tư.

Kể từ đó, ExpressVPN đã ủy thác thêm các công việc đảm bảo, bao gồm đánh giá của KPMG tính đến tháng 2 năm 2025, mặc dù đó là một đánh giá tại một thời điểm. Người dùng nên theo dõi các đợt kiểm toán sau này để xác minh các biện pháp kiểm soát vẫn được duy trì.

Các tính năng bảo mật độc đáo

ExpressVPN cung cấp một số tính năng bảo mật giúp phân biệt dịch vụ với các đối thủ có tiêu chuẩn mã hóa tương tự.

Công nghệ TrustedServer

Mọi máy chủ ExpressVPN đều chạy hoàn toàn trên RAM dễ bay hơi, không phải ổ cứng. Máy chủ tải một hình ảnh chỉ đọc mỗi lần khởi động. Mọi dữ liệu đều bị xóa hoàn toàn khi máy chủ khởi động lại. Kiến trúc này khiến việc lưu trữ dữ liệu bền vững trên máy chủ VPN là điều không thể về mặt vật lý.

Threat Manager

Threat Manager chặn các ứng dụng và trang web giao tiếp với các trình theo dõi đã biết và máy chủ độc hại. Nó hoạt động ở cấp DNS trên tất cả thiết bị được kết nối. ExpressVPN thường xuyên cập nhật danh sách chặn dựa trên dữ liệu tình báo về mối đe dọa.

Express Keys (Trình quản lý mật khẩu)

ExpressVPN đi kèm trình quản lý mật khẩu tích hợp có tên Keys trong mọi gói đăng ký. Keys sử dụng mã hóa zero-knowledge, nghĩa là ExpressVPN không thể truy cập mật khẩu bạn đã lưu. Tính năng tích hợp này mang lại giá trị bảo mật thực tế vượt ra ngoài chính đường hầm VPN.

Bảo vệ hậu lượng tử

ExpressVPN cho biết họ đã triển khai hỗ trợ mật mã hậu lượng tử trong giao thức Lightway, nhằm đối phó với các máy tính lượng tử tương lai có thể phá vỡ các phương pháp trao đổi khóa hiện nay. Chúng tôi chưa tự kiểm thử tính năng này.

Tài liệu tham khảo

1. Ernesto Van der Sar. 2017. VPN Server Seized to Investigate Russian Ambassador's Assassination * TorrentFreak. Truy xuất 18 tháng 10, 2026 từ https://torrentfreak.com/vpn-server-seized-to-investigate-russian-ambassadors-assassination-1171219/.Đã lưu trữ: Ảnh chụp Wayback Machine
2. ExpressVPN. 2025. ExpressVPN’s 3rd KPMG Security Audit of No-Logs Policy. Truy xuất 18 tháng 10, 2026 từ https://www.expressvpn.com/blog/kpmg-2025-no-logs-policy-audit/.
3. Cure53. k.n.g. Cure53 – Security assessments for software that matters. Truy xuất 18 tháng 10, 2026 từ https://cure53.de/.Đã lưu trữ: Ảnh chụp Wayback Machine
4. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Đã lưu trữ: Ảnh chụp Wayback Machine
5. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Đã lưu trữ: Ảnh chụp Wayback Machine

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ nghiên cứu của chúng tôi, miễn phí xem và chia sẻ.

• 

• Bảo mật ExpressVPNPDF · 0.7 MB

Câu hỏi thường gặp

Tất cảAn toàn & Quyền riêng tưCách hoạt độngCài đặt & Hỗ trợ

ExpressVPN có an toàn để sử dụng nói chung không?

Có. ExpressVPN đạt điểm tin cậy 88/100, được hỗ trợ bởi mã hóa AES-256, hạ tầng TrustedServer chỉ chạy trên RAM và chính sách không lưu nhật ký nghiêm ngặt được bảo chứng bởi báo cáo đảm bảo KPMG Type 1 tính đến tháng 2 năm 2025 (mức đảm bảo hợp lý, không phát hiện vấn đề nào về các biện pháp bảo vệ chống ghi nhật ký hoạt động). Dịch vụ được thành lập tại Quần đảo Virgin thuộc Anh, nằm ngoài các liên minh giám sát 14 Eyes, và ExpressVPN cho biết tuyên bố không lưu nhật ký của họ đã được giữ vững khi chính quyền Thổ Nhĩ Kỳ thu giữ một máy chủ năm 2017 và việc kiểm tra không cho ra thông tin hữu ích nào.

Vì sao quyền tài phán của ExpressVPN tại Quần đảo Virgin thuộc Anh lại quan trọng đối với quyền riêng tư của người dùng?

BVI nằm ngoài các liên minh tình báo 5, 9 và 14 Eyes, và ExpressVPN đã nói rằng họ chỉ phản hồi các lệnh của tòa án địa phương. Lập trường này đã được thử thách năm 2017, khi chính quyền Thổ Nhĩ Kỳ thu giữ một máy chủ trong một cuộc điều tra; theo báo cáo, việc kiểm tra không cho ra thông tin hữu ích nào.

Các đợt kiểm toán độc lập thực sự đã xác minh những gì về ExpressVPN?

KPMG đã đưa ra mức đảm bảo hợp lý, theo ISAE (UK) 3000 Type 1, đối với TrustedServer và các tuyên bố trong chính sách quyền riêng tư của ExpressVPN tính đến ngày 28 tháng 2 năm 2025. Đây là đợt đánh giá do ExpressVPN ủy thác và chỉ tại một thời điểm, không phải giám sát liên tục. Cure53 liệt kê nhiều báo cáo kiểm thử xâm nhập của ExpressVPN trên trang của họ, và Cure53 cùng Praetorian đã kiểm toán bản viết lại bằng Rust của Lightway năm 2024.

ExpressVPN thực sự thu thập dữ liệu gì nếu không ghi nhật ký hoạt động?

ExpressVPN không lưu lịch sử duyệt web, địa chỉ IP, truy vấn DNS hay dấu thời gian kết nối. Họ có thu thập dữ liệu tổng hợp không gắn với từng tài khoản: phiên bản ứng dụng, vị trí máy chủ chung được chọn và tổng băng thông sử dụng mỗi ngày, hoàn toàn để quản lý công suất máy chủ. Thông tin thanh toán như email và phương thức thanh toán được lưu riêng; Bitcoin hoặc email dùng một lần có thể hạn chế thêm dấu vết này.

Giao thức Lightway của ExpressVPN so với OpenVPN về bảo mật thì thế nào?

Lightway là giao thức độc quyền của ExpressVPN, được xây dựng trên wolfSSL, với mã nguồn mà ExpressVPN cho biết nhỏ hơn đáng kể so với OpenVPN, nên ít mã phải kiểm toán hơn. Giao thức hỗ trợ mã hóa ChaCha20 hoặc AES-256, và Cure53 cùng Praetorian đã kiểm toán bản viết lại bằng Rust của nó năm 2024.

Kill switch của ExpressVPN có thực sự ngăn rò rỉ khi kết nối bị gián đoạn không?

Có. Kill switch của ExpressVPN, gọi là Network Lock, được kích hoạt mặc định trên Windows, Mac, Linux và router, và hoạt động ở cấp tường lửa thay vì cấp ứng dụng, khép lại các khoảng thời gian kết nối lại ngắn mà kill switch cấp ứng dụng thường bỏ sót. Nó chặn mọi lưu lượng ngoài đường hầm VPN và các máy chủ DNS riêng của ExpressVPN, và bạn có thể xác nhận không có rò rỉ DNS, WebRTC hay IPv6 bằng một bài kiểm tra rò rỉ.

Tôi có nên lo ngại việc Kape Technologies sở hữu ExpressVPN không?

Đây là câu hỏi chính đáng nên được hiểu rõ, không phải yếu tố quyết định mang tính loại trừ. Kape đã mua lại ExpressVPN với mức giá được báo cáo khoảng 936 triệu USD vào năm 2021 và trước đó hoạt động dưới tên Crossrider, một công ty liên quan đến adware. Kể từ khi mua lại, ExpressVPN vẫn giữ quyền tài phán BVI và ủy thác một đánh giá KPMG tính đến tháng 2 năm 2025, nhưng đó là đánh giá tại một thời điểm, nên hãy theo dõi các đợt kiểm toán sau này.

Bảo vệ hậu lượng tử là gì và ExpressVPN có thực sự có tính năng này không?

Mật mã hậu lượng tử bảo vệ lưu lượng được mã hóa trước các máy tính lượng tử tương lai đủ mạnh để phá vỡ các tiêu chuẩn hiện tại như AES-256. ExpressVPN cho biết họ đã triển khai hỗ trợ bảo vệ hậu lượng tử trong giao thức Lightway. Tính năng này hoạt động song song với bảo mật chuyển tiếp hoàn hảo, vốn tạo ra các khóa phiên mới.

Chính sách hoàn tiền của ExpressVPN là gì nếu các tính năng bảo mật không đáp ứng kỳ vọng?

ExpressVPN đảm bảo mọi gói dịch vụ với chính sách hoàn tiền trong 30 ngày, cho bạn một tháng đầy đủ để kiểm tra Network Lock, bảo vệ rò rỉ DNS và kiến trúc chỉ dùng RAM của TrustedServer trước khi cam kết. Điều này tương ứng với thời hạn đảm bảo mà NordVPN và ProtonVPN cung cấp, nên việc tự kiểm tra các tuyên bố không lưu nhật ký không gây rủi ro tài chính trong khoảng thời gian đó.

Một tài khoản ExpressVPN bảo vệ được bao nhiêu thiết bị cùng lúc?

ExpressVPN hỗ trợ 10 đến 14 kết nối thiết bị đồng thời tùy theo cấp gói bạn chọn. Mọi thiết bị được kết nối đều nhận được cùng một mức bảo vệ: mã hóa AES-256, kill switch cấp tường lửa của Network Lock và các máy chủ DNS riêng của ExpressVPN, nên một hộ gia đình dùng nhiều điện thoại, laptop và router vẫn được bảo vệ trong cùng một gói đăng ký.

Làm thế nào để tôi xác nhận bảo vệ rò rỉ DNS của ExpressVPN đang hoạt động trên thiết bị của mình?

ExpressVPN chạy DNS riêng, được mã hóa trên mọi máy chủ, nên các truy vấn của bạn không đi qua nhà cung cấp bên thứ ba như Google hay Cloudflare. Hãy chạy một bài kiểm tra rò rỉ bằng công cụ kiểm tra rò rỉ DNS khi đang kết nối và xác nhận kết quả chỉ hiển thị các máy chủ DNS của chính ExpressVPN, không phải của nhà mạng internet (ISP) của bạn.

Điều gì xảy ra với lưu lượng của tôi nếu ExpressVPN bị ngắt kết nối bất ngờ?

Network Lock, kill switch của ExpressVPN, chặn toàn bộ lưu lượng internet ngay khi kết nối VPN bị ngắt, vì nó hoạt động ở cấp tường lửa thay vì cấp ứng dụng. Điều này khép lại các khoảng thời gian kết nối lại ngắn mà kill switch cấp ứng dụng của các dịch vụ khác có thể làm lộ IP thật của bạn. Tính năng này được bật mặc định trên Windows, Mac, Linux và các thiết lập router.

Bảo mật mạnh của ExpressVPN có làm giảm tốc độ không?

Không đáng kể. ExpressVPN xếp hạng #2 trên 22 trong bảng Điểm tin cậy của chúng tôi, được tổng hợp từ các bài kiểm thử của bên thứ ba đã công bố, mặc dù chạy mã hóa AES-256 đầy đủ cùng kiến trúc TrustedServer chỉ dùng RAM trên mọi kết nối. Codebase của Lightway, mà ExpressVPN cho biết nhỏ hơn đáng kể so với OpenVPN, được thiết kế để bù đắp một phần chi phí mà các tính năng bảo mật nặng hơn gây ra cho thông lượng.