ExpressVPN wurde unabhängigen Audits seiner iOS- und Android-Apps unterzogen

Veröffentlicht am: 15. Dezember 2022

Beliebter VPN-Anbieter ExpressVPN angekündigt Am Dienstag führte das Cybersicherheitsunternehmen Cure53 separate Bewertungen seiner mobilen Android- und iOS-Apps durch White-Box-Penetrationstests und Quellcode-Audits durch. Das Prüfung seiner Android-App wurde im August durchgeführt, während die iOS-Audit trat von Ende August bis Anfang September auf.

Die Audits von Cure53 umfassten auch Untersuchungen des integrierten Passwortmanagers von ExpressVPN für seine mobilen Apps, ExpressVPN-Schlüssel, zusammen mit seiner VPN-Protokollintegration und -abhängigkeiten.

Diese unabhängigen Sicherheitsbewertungen sind entscheidend, um unvoreingenommene Informationen zu den Sicherheitsansprüchen von ExpressVPN bereitzustellen. Darüber hinaus bieten sie einen Einblick, wie gut sich das VPN gegen Cyberangriffe von böswilligen Akteuren und Anwendungen von Drittanbietern verteidigen kann.

„Wir erkennen den wachsenden globalen Bedarf an digitalem Datenschutz und Sicherheitsschutz, weshalb ich mich freue, mitteilen zu können, dass beide mobilen Apps von ExpressVPN nun von den unabhängigen Sicherheitsexperten von Cure53 geprüft wurden. Diese Ankündigung ist umso bedeutsamer, als sie nur wenige Wochen nach den vollständigen Prüfungen unserer drei Desktop-Apps sowie der Prüfung unserer No-Logs-Richtlinie durch KPMG erfolgt“, sagte ExpressVPN Penetration Testing Manager Brian Schirmacher. „Audits durch angesehene Cybersicherheitsfirmen wie Cure53 sind eine unserer vielen Vertrauens- und Transparenzinitiativen. Wir wollen die Messlatte für die Branche weiterhin hoch legen.“

Während der Prüfung der Android-App entdeckte Cure53 drei Sicherheitslücken, die als „mittel“ oder „niedrig“ eingestuft wurden. Das Cybersicherheitsunternehmen gab außerdem zehn allgemeine Härtungsempfehlungen für Probleme ab, die als „Verschiedenes: Informativ“ identifiziert wurden.

„Dieses Ergebnis ist ein deutlicher Beweis dafür, dass sich das ExpressVPN-Team der vielen Probleme, mit denen moderne VPN-Anwendungen konfrontiert sind, nicht nur sehr bewusst ist, sondern ihnen auch effektiv entgegenwirken kann“, sagte Cure53 in seinem Bericht. „Insgesamt ist der Gesamteindruck des Testteams nach diesem Engagement trotz der relativ hohen Ausbeute an Erkenntnissen ausreichend positiv. Dies ist vor allem der Tatsache geschuldet, dass die überwiegende Mehrheit der Ergebnisse Variationen gängiger Fehlkonfigurationen sind, die häufig in Android-Anwendungen vorhanden sind.“

„Diese positive Sichtweise wird auch durch die Tatsache untermauert, dass keine der oben genannten Schwachstellen direkt für erfolgreiche Angriffe missbraucht werden kann“, fügt das Unternehmen hinzu.

Für die iOS-App fand das Audit von Cure53 vier Schwachstellen, die als „mittlerer“ oder „niedriger“ Schweregrad eingestuft wurden. Darüber hinaus gab das Cybersicherheitsunternehmen fünf Härtungsempfehlungen mit geringerem Ausnutzungspotenzial ab.

„Die Tatsache, dass alle Befunde mit einem Schweregrad von Mittel oder niedriger bewertet wurden, weist auf ein völliges Fehlen signifikanter Angriffsflächen und schädlichen Bedrohungspotenzials hin“, sagte Cure53. „Alles in allem verdient das Entwicklungsteam großes Lob für seine sorgfältigen Bemühungen, potenzielle Bedrohungen für die iOS-Anwendung zu minimieren, wobei nur geringfügige Anpassungen erforderlich sind, um die Plattform aus Sicherheitssicht auf einen vorbildlichen Standard zu bringen.“

ExpressVPN hat seitdem alle in den Audits seiner Android- und iOS-Apps aufgeführten Schwachstellen behoben und die meisten Probleme von seinem internen Sicherheitsteam beheben lassen.