Auditores externos de ExpressVPN ratifican la política de no registros desde febrero.
Se encontró una "aseguración razonable" de que el proveedor de VPN no registra la actividad de los usuarios.
La compañía de VPN ExpressVPN afirma en su sitio web que no guarda datos que puedan vincular a los usuarios con actividades en línea. Esta afirmación ha sido respaldada por una auditoría independiente realizada a finales de febrero por la firma de contabilidad KPMG, la cual encontró "una garantía razonable" de que el sistema de la VPN previene el registro de actividades del usuario.
La auditoría se centró en el sistema TrustedServer de ExpressVPN, que se basa en servidores RAM. Este enfoque teórico implica que los datos de los usuarios se eliminan cada vez que se reinicia el servidor, lo que impide la posibilidad de almacenamiento a largo plazo. Algunos competidores, como NordVPN, también utilizan servidores basados en RAM, mientras que ProtonVPN argumenta que los discos duros correctamente cifrados son igualmente seguros.
Una de las críticas hacia los servidores basados en RAM es que su efectividad depende de que se reinicien adecuadamente. En teoría, una empresa podría tener servidores RAM con fines de marketing sin reiniciarlos nunca, lo que subraya la importancia de las auditorías en este contexto.
Respecto a los hallazgos de KPMG, la firma mostró un alto nivel de confianza en que el sistema sin registros operó como se había anunciado a finales de febrero. Su informe establece que "los controles proporcionan una garantía razonable de que el TrustedServer de ExpressVPN no recopila registros de la actividad de los usuarios", lo que incluye "la no recopilación del historial de navegación, destinos de tráfico, contenido de datos, consultas DNS o registros de conexión específicos".
La evaluación realizada por KPMG fue un tipo de auditoría ISAE 3000 Tipo I, que se concentró en el diseño e implementación de los controles de ExpressVPN en un momento específico. A diferencia de una auditoría Tipo II, que abarcaría un período extendido y mediría la efectividad de esos controles, esta evaluación reflejó conclusiones para un instante particular, lo que no implica una confianza permanente. Además, la auditoría no incluyó pruebas de estrés del sistema completo ni un análisis exhaustivo de seguridad de la empresa.
Para obtener un desglose más detallado, se puede consultar el informe completo de KPMG.
