独立機関の監査で2度目となるLightwayの安全性を確認

1年前、弊社は、第三者による監査の頻度と量を増やしていくと公表しました。より多くの独立したサイバーセキュリティの専門家に弊社の製品を評価してもらい、弊社のセキュリティに関する主張の正確さを検証してもらうことを誓ったのです。この1年間だけで、すべてのモバイルおよびデスクトップアプリ、プライバシーポリシー、 そしてTrustedServer、Aircoveルーター、Keysパスワードマネージャーなど弊社の主要テクノロジーについて、新たに独立監査を受けたことを発表しています。

今回は、2022年10月および11月、ドイツのサイバーセキュリティ会社であるCure53によって、弊社がゼロから構築したオープンソースのVPNプロトコル「Lightway」の監査が実施されたことを報告いたします。このプロジェクトには、侵入テストおよびLightwayのソースコードの専用監査が含まれています。

Lightwayは重要なテクノロジーです。VPNプロトコルはVPNサービスの基盤を構築し、ユーザーエクスペリエンスのあらゆる面を形作っています。そのため、Cure53を招いて2度目のLightwayの監査を実施し（Lightwayの初回監査は2021年に実施済）、テスト範囲も拡大させました。

Cure53により、5つの低重要度の問題と4つの情報提供に関する問題を指摘されましたが、深刻な問題や高・中重要度の問題は発見されませんでした。このように、Cure53が非常にポジティブなレポートを作成したことを、私たちは誇りに思います。また、2023年2月に再テストが実施されましたが、Cure53がレポートに記載していて対処可能な問題については、すべて改善されました。

Cure53はレポート内で、「包括的なカバー範囲、指摘事項の少なさ、影響度の高い問題がないという要因の組み合わせから、ExpressVPN Lightwayコンポーネントの今回のCure53の評価は、ポジティブな結果と結論づけます」と述べています。

つまり、Lightwayは「非常に良いセキュリティ状態にある」と評価されたことになります。

信頼と透明性へのコミットメント

この最新の評価を加え、ExpressVPNは過去1年間だけでも第三者機関による監査を12件も実施し、公表しています。これは、VPN業界のどの企業よりも多くの監査レポートを公開しており、弊社サービスに対する信頼性と透明性をさらに高めていることを意味します。

過去に実施したすべての外部監査を時系列順に並べてご紹介します。（※はユーザー限定）

• Cure53によるExpressVPN Keysブラウザ拡張機能の監査レポート（英文）※（2022年10月）
• Cure53によるExpressVPNブラウザ拡張機能の監査レポート（英文）※（2022年10月）
• KPMGによるログなしポリシーに関する監査（2022年9月）
• Cure53によるiOS版アプリのセキュリティ監査（2022年9月）
• Cure53によるAndroid版アプリのセキュリティ監査（2022年8月）
• Cure53社によるLinuxアプリの監査（2022年8月）
• Cure53社によるmacOSアプリの監査（2022年7月）
• Cure53社によるAircoveルーターのセキュリティ監査（英文）（2022年7月）
• Cure53社による弊社VPNサーバー技術「TrustedServer」のセキュリティ監査（2022年5月）
• F-Secure社によるWindows v12アプリの監査（2022年4月）
• F-Secure社によるWindows v10アプリのセキュリティ監査（英文）（2022年3月）
• Cure53社による弊社VPNプロトコル「Lightway」のセキュリティ監査（英文）（2021年8月）
• PwCスイス社によるビルド認証プロセスの監査（2020年6月）
• PwCスイス社によるプライバシーポリシー遵守および自社技術「TrustedServer」の監査（英文）（2019年6月）
• Cure53社によるブラウザ拡張機能のセキュリティ監査（英文）（2018年11月）

これらの保証業務やセキュリティ評価は、VPN Trust Initiativeやバグバウンティプログラムの立ち上げ、セキュリティプラクティスの公開など、弊社の信頼と透明性のための取り組みを裏付けるものです。

私たちは、LightwayやTrustedServerなどの技術革新によって、VPN業界を前進させることができたと自負しています。今回の監査はかつてないほど包括的なもので、インターネットユーザーにプライバシーとセキュリティを提供するために、弊社がいかに業界をリードしているかを示す一例になったと言えるでしょう。