ExpressVPN 发布新一份第三方审计报告和 DNS 漏洞研究论文

3 分钟

撰稿人

Pete Membrey

审阅人

Fangying Ang

最后更新日期

2024年4月17日

审阅人

Fangying Ang

最后更新

2024年4月17日

在 Facebook 分享在 Twitter 分享通过 Whatsapp 分享在 Telegram 分享通过电子邮件分享

在 ExpressVPN，我们相信通过透明性来赢得用户信任，而不仅仅是让客户相信我们的话。我们的一种做法是定期发布受信任的第三方审计，提供独立验证我们对用户隐私和安全承诺的依据。

今年早些时候，CNET 的 VPN 专家和编辑 Attila Tomaschek 通知我们，他在使用 Windows 设备的分流功能时观察到了意外的 DNS 请求行为。我们随后进行了修复，且我们内部团队与 CNET 原始问题报告者通过独立测试确认该问题已经解决。

然而，我们想进一步确保我们的 Windows 应用程序对用户来说是安全的。因此，我们最近邀请了第三方网络安全公司 Nettitude 对我们的 Windows 应用程序进行渗透测试。评估的主要目标是确保与分流功能有关的 DNS 问题已解决，并且应用程序没有漏洞。审计工作于 2024 年 3 月和 4 月进行。

我们对结果感到满意，审计结果突显了 ExpressVPN Windows 应用程序的强大安全性。Nettitude 仅发现了一个中等严重性的问题，该问题已被解决，并得到了 Nettitude 在重新测试和报告过程中确认。阅读 Nettitude 的完整审计报告。

重新思考 VPN 中的 DNS 漏洞

这起最初由 CNET 专家发现的案例促使我们在过去几个月深入研究 Windows 的 DNS 问题，我们希望公开分享一些发现。最初作为记录和验证意外行为的尽职调查过程，结果却比预期更加启发人心。

随着我们的团队深入探讨此案例的周边情况，我们发现了一个可能会影响整个 VPN 行业的更大问题。实际上，我们相信自己发现了 DNS 漏洞测试方法的一项严重缺陷，以及当前公认的最佳实践。我们在至少一个其他 VPN 提供商中发现了这个问题，该提供商已经实施了我们推荐的解决方案。然而，我们认为，可能还有许多其他提供商受到影响。

因此，我们发布了一份关于我们的发现的技术论文，希望促使业界其他公司对其应用程序进行调查和改进。我们希望通过透明分享我们的研究，能够提高整个行业的标准，从而更好地保障所有 VPN 用户的隐私和安全，而不仅仅是我们的客户。

在这一过程中，我们越来越清楚，传统的在线安全评估框架已显不足。以往，DNS 漏洞常常局限于用户的公共 IP 地址意外暴露于 DNS 服务器的情形。然而，我们的研究表明，这种看法过于简化，背后还有更多内容。

我们将 DNS 漏洞分为两类：

类型 1 DNS 漏洞因其明显性长久以来一直是我们关注的焦点。然而，更微妙的类型 2 DNS 漏洞则亟需更多的审视与重视。我们还发现，隐形的 Stealth DNS 服务器通过逃避传统的 DNS 漏洞检测工具，加剧了人们对类型 2 漏洞的安全感。

我们已经在 engrXiv (工程档案) 发布了这篇论文，强烈建议您认真阅读，以全面了解漏洞、威胁场景及缓解策略。

感谢所有在这个进程中与我们共同努力的人。随着我们向前进展，继续完善我们的检测方法、增强 VPN 服务的安全措施以及在网络安全社区内促进透明与合作的环境至关重要。

获取 ExpressVPN

30 天退款保证

获取 ExpressVPN

什么是 VPN？

Pete Membrey

Pete Membrey 目前是 ExpressVPN 的首席工程官，Lightway (一个开源、移动优先的 VPN 协议) 的创建者，以及 TrustedServer 团队的核心成员，该团队创建了业界首个仅内存的服务器平台，专为深度防御策略而设计。

为这篇文章点赞，或分享您的想法！

26

2