ExpressVPN ja tietoturva – näin palvelu toimii

ExpressVPN on yksi maailman tunnetuimmista VPN-palveluista. VPN (Virtual Private Network eli virtuaalinen erillisverkko) on työkalu, joka salaa internet-liikenteen ja piilottaa käyttäjän IP-osoitteen. Tässä artikkelissa käydään läpi, mikä ExpressVPN on, miten se toimii ja mitä sen tietoturvasta tiedetään.

Teksti on puolueeton tietopaketti – ei arvostelu eikä ostosuositus. Tavoitteena on selittää palvelun ominaisuudet ja VPN-tekniikan perusteet myös aloittelijalle ymmärrettävästi.

Mikä ExpressVPN on

ExpressVPN on vuonna 2009 perustettu VPN-palvelu. Palvelun avulla käyttäjä voi ohjata internet-liikenteensä salatun yhteyden kautta ja näyttää ulospäin olevansa eri sijainnissa kuin todellisuudessa on.

Palvelu on saatavilla useimmille laitteille ja alustoille, kuten Windows- ja Mac-tietokoneille, älypuhelimille, tableteille ja reitittimille. Yhdellä tilauksella voi käyttää palvelua useammalla laitteella samanaikaisesti; laitemäärä riippuu valitusta tilaustasosta.

Vuonna 2021 ExpressVPN siirtyi Kape Technologies -nimisen yhtiön omistukseen. Tämä on tietoturvan kannalta olennainen tieto, sillä palvelun omistajuus vaikuttaa siihen, kenen käytäntöjen alaisuudessa palvelu toimii.

Miten VPN toimii

VPN-yhteydessä internet-liikenne ei kulje suoraan laitteesta verkkoon, vaan ensin VPN-palvelimen kautta. Tällä on kaksi käytännön seurausta.

Ensinnäkin liikenne näyttää tulevan VPN-palvelimen IP-osoitteesta oman IP-osoitteesi sijaan. IP-osoite on numerosarja, joka yksilöi laitteen internetissä ja paljastaa karkeasti sijainnin. VPN:n kautta todellinen IP-osoite jää piiloon, ja verkkopalvelut näkevät vain palvelimen osoitteen.

Toiseksi VPN salaa liikenteen. Salaus tarkoittaa tiedon muuntamista muotoon, jota ulkopuolinen ei pysty lukemaan. Näin esimerkiksi avoimessa julkisessa WiFi-verkossa liikkuva tieto on paremmin suojattu.

Mitä VPN ei tee

On tärkeää ymmärtää myös VPN:n rajat, sillä niistä liikkuu paljon liioiteltuja väitteitä. VPN ei tee käyttäjästä täysin anonyymiä eikä jäljittämätöntä.

Vaikka VPN piilottaa IP-osoitteen, käyttäjä voidaan silti tunnistaa muilla tavoilla, kuten sisäänkirjautumisten, evästeiden ja selaimen tunnistetietojen perusteella. Lisäksi valtaosa verkkosivuista käyttää jo valmiiksi HTTPS-salausta, joka suojaa esimerkiksi pankkiyhteydet myös ilman VPN:ää.

VPN on siis yksi tietoturvan työkalu muiden joukossa, ei kaikenkattava suoja. Sen hyöty riippuu käyttötarkoituksesta.

ExpressVPN:n tietoturva

Kun käytät VPN-palvelua, ohjaat kaiken verkkoliikenteesi palveluntarjoajan kautta. Siksi palveluntarjoajan luotettavuus ja tietosuojakäytännöt ovat keskeisiä. Alla on koottuna ExpressVPN:n tietoturvaan liittyviä keskeisiä tosiasioita.

Sijainti eli jurisdiktio

ExpressVPN on rekisteröity Brittiläisille Neitsytsaarille (British Virgin Islands). Alueella ei ole pakollisia tiedon säilytysvelvoitteita, eikä se kuulu niin sanottuihin tiedusteluliittoumiin (5/9/14 Eyes). Tämä sijainti on yleinen valinta yksityisyyteen keskittyvillä VPN-palveluilla.

Lokipolitiikka ja TrustedServer

ExpressVPN ilmoittaa noudattavansa niin sanottua no-logs- eli ei lokitietoja -käytäntöä, mikä tarkoittaa, ettei se kerää tietoja käyttäjän selaustoiminnasta. Palvelu käyttää TrustedServer-tekniikkaa, jossa palvelimet toimivat pelkän RAM-muistin varassa. Käytännössä tämä tarkoittaa, että tiedot pyyhkiytyvät jokaisen uudelleenkäynnistyksen yhteydessä, koska mitään ei tallenneta pysyvälle kiintolevylle.

Riippumattomat auditoinnit

ExpressVPN:n tietoturvaväitteitä on tarkastanut ulkopuolisia tahoja. Esimerkiksi tilintarkastusyhtiö KPMG on arvioinut palvelun no-logs-käytäntöä ja TrustedServer-tekniikkaa. Riippumattomat auditoinnit ovat tapa varmentaa, että palvelu toimii kuvatulla tavalla.

Palvelimen takavarikko 2017

ExpressVPN:n lokipolitiikkaa koeteltiin käytännössä vuonna 2017, kun Turkin viranomaiset takavarikoivat yhden palvelun palvelimista tutkinnan yhteydessä. Palvelimelta ei kyetty palauttamaan käyttäjiä yksilöiviä tietoja, mikä tuki väitettä siitä, ettei tietoja tallenneta.

Ilmaiset VPN-palvelut ja niiden riskit

VPN-palvelun ylläpito maksaa, ja tämä näkyy erityisesti ilmaisissa palveluissa. Osa ilmaisista VPN-palveluista rahoittaa toimintaansa keräämällä ja myymällä käyttäjätietoja esimerkiksi mainostajille.

Pahimmillaan epäluotettava ilmainen palvelu voi sisältää haittaohjelmia tai välittää käyttäjän verkkoyhteyttä eteenpäin muille. Tämä ei koske kaikkia ilmaisia palveluita, mutta se on syytä pitää mielessä palvelua valitessa.

Koska VPN:ää käytettäessä koko verkkoliikenne kulkee palveluntarjoajan kautta, palvelun avoimuus ja rahoitusmalli kannattaa selvittää ennen käyttöä.

Yhteenveto

ExpressVPN on pitkään toiminut VPN-palvelu, jonka tietoturvaa tukevat Brittiläisten Neitsytsaarten sijainti, RAM-pohjainen TrustedServer-tekniikka ja riippumattomat auditoinnit. Toisaalta palvelun omistaa Kape Technologies, minkä osa käyttäjistä haluaa huomioida arvioidessaan palvelun luotettavuutta.

Yleisesti on hyvä muistaa, että VPN on yksi tietoturvan työkalu, joka suojaa liikennettä ja piilottaa IP-osoitteen, mutta ei tee käyttäjästä täysin anonyymiä. Tietoturva rakentuu monen tekijän yhteisvaikutuksesta.

Lisää aiheeseen liittyvää tietoa löydät virustorjuntaa käsittelevästä artikkelistamme sekä sovellukset-osiostamme. Ohjelmien turvallisesta päivittämisestä kerromme ohjelmistopäivitys-sivullamme.

Usein kysytyt kysymykset

Mikä ExpressVPN on?
ExpressVPN on vuonna 2009 perustettu VPN-palvelu, joka salaa internet-liikenteen ja piilottaa käyttäjän IP-osoitteen. Sitä voi käyttää tietokoneilla, mobiililaitteilla ja reitittimillä.

Kuka omistaa ExpressVPN:n?
ExpressVPN siirtyi vuonna 2021 Kape Technologies -yhtiön omistukseen. Palvelu toimii edelleen Brittiläisten Neitsytsaarten lainsäädännön alaisuudessa.

Tekeekö VPN minusta täysin anonyymin?
Ei. VPN piilottaa IP-osoitteen ja salaa liikenteen, mutta käyttäjä voidaan silti tunnistaa esimerkiksi sisäänkirjautumisten, evästeiden ja selaimen tunnistetietojen kautta. VPN on yksi tietoturvan työkalu, ei täydellinen anonymiteetti.

Mitä tarkoittaa no-logs-käytäntö?
No-logs tarkoittaa, ettei palvelu kerää lokitietoja käyttäjän selaustoiminnasta. ExpressVPN:n kohdalla tätä on tukenut RAM-pohjainen TrustedServer-tekniikka ja riippumattomat auditoinnit.

Miksi VPN:n sijainti on tärkeä?
Palvelun rekisteröintimaa määrää, minkä lainsäädännön alaisuudessa se toimii ja onko sillä velvollisuus säilyttää käyttäjätietoja. ExpressVPN on rekisteröity Brittiläisille Neitsytsaarille, jossa ei ole pakollisia tiedon säilytysvelvoitteita.

Ovatko ilmaiset VPN-palvelut turvallisia?
Vaihtelevasti. Osa ilmaisista palveluista rahoittaa toimintaansa keräämällä ja myymällä käyttäjätietoja. Ilmaista palvelua valitessa kannattaa selvittää sen rahoitusmalli ja tietosuojakäytännöt.

Suojaako VPN pankkiyhteyteni?
Pankkisivustot käyttävät jo valmiiksi HTTPS-salausta, joka suojaa yhteyden ilman VPN:ääkin. VPN tuo lisäsuojaa erityisesti avoimissa julkisissa verkoissa, mutta ei ole edellytys turvalliselle pankkiasioinnille.