Beléptető rendszerek biztonsága: 5 támadási pont és a védekezés

Egy beléptető rendszer akkor jó, ha nem csak kényelmes, hanem támadás esetén is kiszámíthatóan viselkedik. A kérdés nem az, hogy „feltörhetetlen-e”, hanem az, hogy milyen rétegek védik egymást: a kártya, a vezérlő, az olvasó–vezérlő kommunikáció, a hálózat, a firmware és a napi folyamatok. Ez az útmutató a legfontosabb támadási pontokat és a védekezési checklistet szedi sorba – konkrét exploit-lépések nélkül.

Mennyire biztonságos egy beléptető rendszer?

Röviden: nincs 100%-osan feltörhetetlen beléptető rendszer. A biztonság nem egyetlen termék tulajdonsága, hanem a kártyatechnológia, a vezérlő védelme, az olvasó–vezérlő kommunikáció, a hálózati szegmentálás, a firmware-kezelés és a jogosultsági folyamatok együttese. Egy jól tervezett rendszer kriptográfiailag hitelesített azonosítót, többfaktoros belépést, integritásvédett naplót és gyors jogosultság-visszavonást használ. A jogosultságkezelési és üzemeltetési hibák önmagukban is jelentős kockázatot jelentenek – például a „még nem vontuk vissza” kártya vagy a megosztott PIN.

Miért sebezhető a hagyományos beléptető?

A beléptető rendszer három fő rendszerelemből áll: az azonosító (kártya, PIN, ujjlenyomat, arc), a vezérlő és az ajtónyitó logika, valamint a hálózat és a felügyeleti szoftver. Ezek mellett az olvasó és a vezérlő közötti kommunikáció külön védendő felület. A támadó bármelyiket választhatja. A régi rendszereknél gyakori, hogy a rétegek külön-külön gyengék, és nincs köztük keresztellenőrzés: egy másolt kártya önmagában is elég a belépéshez, a vezérlő pedig nem jelez semmit.

A másik tipikus hiba a jogosultságok élettartama. A beléptetés akkor biztonságos, ha a jogosultság a munkakörhöz és a munkarendhez igazodik, a kilépéskor megszűnik, távollét alatt pedig a szervezeti szabályok és a kockázat alapján ideiglenesen felfüggeszthető. Ha ezt emberi emlékezet alapján kezelik, a rendszer technikailag erős lehet, folyamatilag mégis kiszámíthatatlan.

Az 5 tipikus támadási pont

1. Kártya és azonosító

A legelterjedtebb azonosító a kártya. Egyes régi, titkosítás nélküli kártyák tartalma másolható, ezért a kártyatechnológia önmagában is biztonsági döntés. A „titkosított kártya” megjelölés azonban nem elég: a tényleges kriptográfiai hitelesítés, a kulcskezelés és az olvasó konfigurációja számít. A PIN nem teszi nehezebben másolhatóvá a kártyát, hanem azt akadályozza meg, hogy a másolat önmagában elegendő legyen a belépéshez. A biometrikus vagy okostelefonos kiegészítés szintén csökkentheti a jogosulatlan felhasználás kockázatát, de a biometria jogi feltételeit külön kell tisztázni. Az elveszett kártya letiltása legyen egyetlen művelet, ne több rendszerben kelljen összehangolni.

2. PIN és emberi tényező

A PIN akkor véd, ha egyedi, nem látható, és nem írják fel a kártyára. A gyakorlatban mégis gyakori a közös PIN, a születési dátum, a 1234, illetve a kollégának átadott kód. A PIN-menedzsment legalább ennyire fontos, mint a kártyáé: legyen egyedi, legyen rendszeres cserére lehetőség, és a belépésnél legyen második faktor, ha a kockázat indokolja.

3. Vezérlő és ajtónyitó logika

A vezérlő dönti el, hogy a kártya jogosult-e az adott ajtóra, és hogyan viselkedik áramkimaradás, hálózati hiba vagy tamper esetén. Itt kell tisztázni a fail-safe és fail-secure viselkedést, a vésznyitás szabályát, a tamper-riasztást és a vezérlő fizikai védelmét. A rosszul elhelyezett vagy nyitott vezérlő gyakran többet árt, mint egy gyenge kártya.

A fail-safe/fail-secure beállítás önmagában nem rendezi a menekülés kérdését: a beléptető rendszer nem akadályozhatja a kiürítést, és a vezérléssel működő menekülési ajtóknál a kézi nyithatóságot is biztosítani kell (OTSZ, 54/2014. (XII. 5.) BM rendelet 59. § (2), (6)). A belépési irány vagyonvédelme és a menekülési irány biztonsága két külön szempont.

Az olvasó és a vezérlő közötti kommunikáció önálló támadási felület. A régi Wiegand protokoll titkosítatlan és lehallgatható; ahol lehet, védett, hitelesített csatornát kell használni, például megfelelően konfigurált OSDP Secure Channelt. Az OSDP támogatása önmagában nem bizonyítja, hogy a biztonságos csatorna be is van kapcsolva – ezt a bevezetésnél ellenőrizni kell.

Az anti-passback (ugyanazzal a kártyával kilépés nélkül nem lehet kétszer belépni) a kártyamegosztás ellen véd. A szünetmentes táp és az akkumulátor-felügyelet pedig az áramkimaradás alatti működést biztosítja.

4. Hálózat és integráció

A beléptető rendszer gyakran ugyanarra a hálózatra csatlakozik, mint a többi épületi rendszer. Az alapértelmezett jelszavak, a lapos hálózat, a nyitott felügyeleti portok és a nem frissített kliens mind támadási felületet adnak. A hálózati szegmentálás, a külön VLAN, a minimális jogosultságú integrációs felhasználó és a naplózás csökkenti az oldalirányú mozgás lehetőségét. A külön VLAN azonban önmagában nem elég, ha a szegmensek között korlátlan az átjárás: a szegmensek közötti forgalmat tűzfallal vagy hozzáférési szabályokkal kell korlátozni, csak a szükséges kapcsolatokat engedve.

A belépési naplók személyes adatok. Az adatkezelőnek meg kell határoznia a célt, a jogalapot, a szükséges adatkört, a megőrzési időt és a hozzáférési jogosultságokat, valamint tájékoztatnia kell az érintetteket (GDPR 5., 6., 13. és 32. cikk). A megőrzési idő célhoz kötött; egyetlen általános határidő nem alkalmas minden rendszerre. A naplók integritását védett központi naplókezeléssel (például SIEM) kell biztosítani, hozzáférés-korlátozással és a módosítás/törlés elleni védelemmel.

5. Firmware és élettartam

A firmware is szoftver: frissíteni kell, és a gyártói támogatásnak az eszköz teljes élettartamára ki kell terjednie. A támogatás lejárta után a rendszer nem lesz automatikusan rossz, de a biztonsági javítások elmaradnak. A beszerzésnél érdemes rákérdezni a támogatási időre, a frissítési folyamatra és a tartalék alkatrészekre.

12 pontos védekezési checklist

• Legkisebb szükséges jogosultság elve: mindenki csak oda léphet be, ahova a munkaköre indokolja.
• Kriptográfiailag hitelesített kártyatechnológia vagy többfaktoros azonosítás a magasabb kockázatú zónákban.
• Egyedi PIN-ek, nincs közös kód, nincs kártyára írt PIN.
• A vezérlő és az olvasó fizikai védelme, tamper-riasztás, dokumentált vésznyitási rend; Wiegand helyett OSDP Secure Channel, ha elérhető.
• Hálózati szegmentálás: külön VLAN és a szegmensek közötti forgalom tűzfal/ACL korlátozása, csak a szükséges kapcsolatok engedélyezésével.
• Alapértelmezett jelszavak azonnali cseréje, egyedi adminisztrátori fiókok.
• Rendszeres firmware- és kliensfrissítés, támogatott verziók használata.
• Auditnapló minden belépésről, jogosultságmódosításról és sikertelen kísérletről, védett központi naplókezeléssel (integritás, hozzáférés-korlátozás).
• Kilépési folyamat: a jogosultság visszavonása a hozzáférési igény megszűnésének időpontjában; elveszett vagy kompromittált azonosítónál haladéktalanul.
• Távollét-kezelés: a szervezeti szabályok és a kockázat alapján szükség szerinti ideiglenes felfüggesztés, dokumentált kivételkezeléssel; a betegszabadság részletes okát nem kell továbbítani.
• Kockázatalapú jogosultság-felülvizsgálat (a szervezet méretétől és kockázatától függő gyakorisággal, például félévente vagy negyedévente).
• Incidenskezelési terv: kit értesítünk, mit naplózunk, hogyan állítjuk helyre a rendszert.

Mit kérdezzünk a beszerzésnél?

• Azonosítás: milyen kártyatechnológiát használ, és támogat-e többfaktoros belépést?
• Kriptográfia: a kártya tényleges hitelesítése hogyan működik, és hogyan kezelik a kulcsokat?
• Vezérlő: hogyan viselkedik áramkimaradás, hálózati hiba vagy tamper esetén?
• Olvasó–vezérlő: OSDP v2 titkosított kapcsolatot támogat-e Wiegand helyett, és a Secure Channel be van-e kapcsolva?
• Hálózat: milyen portokat nyit, hogyan lehet szegmentálni, és a szegmensek közötti forgalom hogyan van korlátozva?
• Naplózás: milyen eseményeket rögzít, hogyan védi a napló integritását, meddig őrzi meg, és exportálható-e?
• Élettartam: meddig jár firmware-támogatás, és mi a frissítés folyamata?
• Jogosultság: hogyan történik a kilépő vagy távollévő munkavállaló jogosultságának visszavonása?

KELIO Access Control

A KELIO Access egy webalapú beléptető rendszer, amely RFID-kártya, PIN-kód, ujjlenyomat vagy arcfelismerés segítségével biztosítja az épületek és helyiségek védelmét. A rendszer natívan integrálható a munkaidő-nyilvántartással: a munkavállaló munkarendje automatikusan meghatározza a belépési jogosultságait, távollét alatt pedig – a beállított szabályok szerint – ideiglenesen tiltható. A felügyelet grafikus térképen követhető, minden belépési esemény naplózható, a jogosulatlan kísérletek riasztást adhatnak, a különböző telephelyek pedig egyetlen központi felületről kezelhetők.

Az automatikus működés a választott moduloktól, eszközöktől és beállításoktól függ; a grafikus térkép, a távolléti tiltás és a munkaidő-integráció magyar csomagban elérhető működését a bevezetés során termékdokumentációval kell igazolni. A biometrikus azonosítás technikai lehetőségét itt is el kell különíteni az adott munkahelyen való jogszerű alkalmazástól.

Kapcsolódó tartalmak: beléptető rendszer választás 2026, ujjlenyomat-olvasó technológia, KELIO Access Control termékoldal, munkaidő-nyilvántartás 2026.

Kérjen biztonsági konzultációt

Gyakori kérdések

---

Források: NIST SP 800-116 Rev. 1 – csrc.nist.gov; IEC/EN 60839-11-1 – IEC Webstore; OTSZ, 54/2014. (XII. 5.) BM rendelet 59. § – njt.hu; NIST SP 800-53 Rev. 5 PE-2 – csrc.nist.gov; SIA OSDP – securityindustry.org; CISA hálózati szegmentálás – cisa.gov; NAIH GDPR- és incidens-tájékoztató – naih.hu, incidensbejelentés; KELIO Access Control – kelio.co.uk. A cikk általános biztonsági áttekintés, nem minősül biztonsági auditnak vagy jogi tanácsadásnak. Frissítve: 2026. november 3.