Riscure uit Delft: beveiligingsonderzoek aan chips en apparaten

Riscure zit aan Delftechpark 49 in Delft en werd in 2001 opgericht. Na de overname door Keysight Technologies in 2024 staat het bedrijf ingeschreven als Keysight Technologies Netherlands Riscure B.V. De merknaam blijft in gebruik, waarbij het lab zich presenteert als onderdeel van Keysight.

Het werkterrein wijkt af van de rest van dit overzicht. Waar de meeste aanbieders zich richten op informatiebeveiliging van netwerken en applicaties, onderzoekt Riscure hardware: chips, secure elements, betaalkaarten, settopboxen, auto-onderdelen en apparaten voor het internet der dingen. Het uitgangspunt is dat een aanvaller het apparaat fysiek in handen heeft en er onbeperkt de tijd voor neemt.

Aanvallen die het lab nabootst

Twee technieken staan centraal. Bij zijkanaalanalyse leidt het lab geheime sleutels af uit meetbare bijverschijnselen van een chip, zoals stroomverbruik of elektromagnetische straling, zonder de software zelf aan te vallen. Bij foutinjectie brengt het lab de chip bewust uit balans met spanningspieken, laserpulsen of klokafwijkingen, zodat beveiligingscontroles overgeslagen raken.

Dat werk vraagt meetapparatuur die niet in de handel ligt. Riscure ontwikkelt daarom eigen testgereedschap en levert dat aan fabrikanten en aan andere laboratoria. Naast de tests verzorgt het bedrijf trainingen en begeleiding voor ontwikkelteams die beveiliging al tijdens het ontwerp willen meenemen.

Certificering en accreditatie

Een deel van het werk hangt samen met certificeringsschema’s. Fabrikanten die hun product willen laten goedkeuren volgens Common Criteria, EMVCo of de eisen van GlobalPlatform, hebben een geaccrediteerd laboratorium nodig dat de evaluatie uitvoert. Riscure is daarvoor geaccrediteerd door de Raad voor Accreditatie. Dat verschilt van de cybersecurity audits die op organisatieniveau plaatsvinden.

Voor de meeste Nederlandse organisaties is dit geen partij om te bellen. Wie een penetratietest op een webapplicatie zoekt of managed security services nodig heeft, is elders beter af. Riscure komt in beeld bij fabrikanten van hardware, bij OT security-vraagstukken rond apparatuur, en bij organisaties die een leverancier willen laten toetsen voordat zij apparatuur in gebruik nemen. Meer bureaus die pentests uitvoeren staan in het overzicht van pentest bedrijven.