ExpressVPNでは、弊社のシステムとユーザーを攻撃や侵入から保護するために、厳密なサイバーセキュリティコントロールを考案しました。弊社のVPNソフトウェアとシステムが、ユーザーに約束している高いプライバシーとセキュリティ水準を確実に満たすように、弊社は社内で厳しい検査をし、監査員を雇って独立したレビューを実行しています。
外部検証の一環として、弊社には長期的なバグバウンティプログラムがあります。これは、セキュリティ調査員を雇って、弊社のシステムを検査してもらい、見つけた問題に対して弊社から金銭報酬を支払うプログラムです。何年にもわたり、弊社は成功したバグバウンティハンターに何十万ドルもの報酬を支払ってきました。
現在、弊社はさらに魅力的な報酬を提示しています。弊社のVPNサーバーテクノロジー、TrustedServer上で、セキュリティに致命的なバグを発見・実証した最初の人は、10万米ドルの新たなボーナス報酬を受け取ることができます。これは、弊社のバグバウンティプログラムを主催するプラットフォーム「Bugcrowd」で、今までに提供された中で最高のバウンティのひとつで、以前ExpressVPNが提供した最高報酬の10倍の金額です。
この新たな奨励金を用いて、弊社はTrustedServerの設計と、欠かせないプライバシー保護をユーザーに提供するという公約に対する信頼を明確に示そうとしています。誰かに報酬を獲得して欲しいのか、と言えば、一方では「いいえ」です。それが弊社のサーバーセキュリティの強さを確証するのですから。ですが、脆弱性が存在し、コミュニティからのフィードバックを切望するのであれば、どの脆弱性の発見に対しても深く投資します。私たちは、喜んでバグ発見人と問題に取り組み、報酬をお支払いします。
10万米ドルのボーナス報酬：獲得方法
1度限りのボーナス報酬を獲得するには、弊社のVPNサーバー内で以下のようなセキュリティ問題のひとつを発見する必要があります。
- VPNサーバーへの無許可のアクセス、またはリモートでのコード実行
- クライアントの実際のIPアドレスの漏洩、またはユーザートラフィックの監視の可能性につながる弊社VPNサーバーの脆弱性
報酬は、有効な脆弱性を提出した最初の人に与えられます。活動はTrustedServerプラットフォーム内が対象です 。ボーナス報酬のスコープと実行に関する全詳細をご確認ください。
TrustedServerとは？
TrustedServerは、世界最新のVPNサーバーテクノロジーで、より優れたセキュリティを届けるために弊社で2019年に制作されました。
ExpressVPNは、TrustedServerを用いて、サーバーのオペレーティングシステムとアプリがハードドライブに書き込みすることを阻止します。その代わりに、サーバーは揮発性メモリ、つまりRAMで完全に実行されます。サーバー上のすべての情報は、オペレーティングシステムが再インストールされるたびに消去されます。再インストールは最低1週間に1度実行され、データと潜在的な侵入者の両方がマシン上に存続しないようにします。
1週間に1度、再インストールすることで、各サーバーが必要に応じて別々な時に更新するのではなく、すべてのExpressVPNのサーバーが、確実に最新のソフトウェアを実行するようになります。つまり、ExpressVPNは、各サーバーが何を実行しているのかを正確に把握し、脆弱性や不適切な構成のリスクを最小限にして、VPNセキュリティを劇的に向上させているのです。
セキュリティへの取り組み
当社はバグバウンティプログラム（脆弱性報奨金制度）を真剣に受け止めており、報告内容を綿密に監視しています。最近の調査（2022年5月）では、次の事項が明らかになりました。
- BugCrowd上の平均的なプログラムと比べ、当社は有効な脆弱性報告を承認するまでの所要時間が約40%短いです（平均8.3日であるのに対し、当社は5日）。
- 当社のプログラムについてご意見をお寄せいただいたユーザーの96%が好意的な評価をしており、特に対応の迅速さについて称賛いただいています。
- 当社のプログラムを調査している研究者数はBugCrowd上の平均的なプログラムを大幅に上回っています。1ヶ月当たり平均的なプログラムの3～14倍となっています。
こうしたプログラムに力を入れることで、脆弱性を探すセキュリティ研究者の皆様に良い体験を提供するとともに、製品のセキュリティを常に向上するという当社の目標達成につなげたいと考えています。
