Valve'i platvorm Steam ei ole pelgalt maailma juhtiv arvutimängude digitaalne turustuskanal, vaid sellel toimib mitme miljardi dollari suurune virtuaalmajandus mängusiseste esemetega mängudes nagu Counter-Strike 2 (CS2), Dota 2 ja Team Fortress 2. Kuna virtuaalsed esemed on kergesti vahetatavad ja rahaks tehtavad, langevad Steami kontod pidevalt automatiseeritud rünnakute ja õngitsejate sihikule. Steam Guardi mobiilne autentija on samaaegselt nii teie peamine turvalukk kui ka möödapääsmatu eeldus viivituseta toimivaks vahetuseks teiste mängijatega.
Kohandatud Base32 teisendus ilma täishäälikute ja eksitavate märkideta, sünkroniseeritud Valve'i serveritega.
Peab olema aktiivne 7 järjestikust päeva (168 tundi), et avada kohene vahetus ja vältida 15-päevast ooteaega.
Kuvatakse vaid üks kord seadistamisel. Tagab autentija kohese lahtiühendamise, kui telefon hävib.
Steam Guardi arhitektuur: miks 5 alfanumbreelist tähemärki?
Kasutajad, kes on harjunud Google Authenticatori 6-kohaliste numbritega, on sageli üllatunud Steami koodide üle, mis näevad välja nagu K8MN2 või R7WXY. Miks kaldus Valve kõrvale standardsest RFC 6238 numbrilisest väljundist?
1. Valve'i patenteeritud 26-tähemärgiline teisendus
Standardne RFC 6238 tuletab 6-kohalise koodi, arvutades HMAC-SHA1 räsi põhjal 31-bitise täisarvu ning tehes tehte mod 10^6. Valve'i insenerid lõid aga kohandatud teisenduse, mis kasutab spetsiaalset 26-märgilist tähestikku:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
See lahendus arvestab inimlike vigade vähendamisega. Jättes välja visuaalselt sarnased sümbolid (nagu number 0 ja täht O, number 1 ning tähed I ja L), vähenevad koodi käsitsi sisestamisel vead miinimumini. Täishäälikute (A, E, I, O, U) täielik väljajätmine välistab ka selle, et ekraanile võiksid juhuslikult tekkida ebatsensuursed või solvavad ingliskeelsed sõnad.
2. Reaalajas aja sünkroonimine ITwoFactorService kaudu
Tavalised TOTP-rakendused toetuvad rangelt nutitelefoni operatsioonisüsteemi kellale. 30-sekundiline hälve muudab koodid kehtetuks. Valve lahendab selle nii, et Steami mobiilirakendus küsib Valve'i serverite täpset kellaaega otspunktist: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobiilaklient arvutab nihke ja teostab korrektsiooni. Isegi kui kasutaja keerab oma telefoni kella käsitsi kaks tundi tagasi, genereerib Steam Guard matemaatiliselt kehtivaid koode.
| Autentimise viis | Koodi formaat | Aken | Kolmanda osapoole TOTP tugi | Kaubavahetuse ooteaja vabastus |
|---|---|---|---|---|
| Steam Guard mobiilne autentija | 5 alfanumbreelist (M78KQ) | 30 sekundit | Patenteeritud (vajab shared_secret eraldamist) | ✅ Kohene (pärast 7 päeva) |
| Steam Guard e-posti kinnitus | 5 alfanumbreelist (e-postiga) | Ühekordne | Ei toetata | ❌ Kohustuslik 15-päevane ooteaeg |
| Standardne RFC 6238 (nt 2FA-Tool) | 6 numbrit (123456) | 30 sekundit | Ülemaailmne standard | Ei kohaldu Steami vahetustele |
15-päevase kaubavahetuse ooteaja (Trade Escrow) vältimine
Enne 2015. aasta lõppu langesid tuhanded Steami mängijad iga päev andmepüügi ja pahavara ohvriks. Kuna esemete vahetus oli silmapilkne ja pöördumatu, müüdi varastatud esemed minutitega edasi. Konto varguse ärilise motivatsiooni kaotamiseks kehtestas Valve kaubavahetuse ooteajad (Trade Holds / Escrow) ja turu ooteajad.
Ooteaja rakendumise reeglid:
- Vahetamine ilma mobiilse autentijata: Kui esemeid loovutaval kontol pole aktiivset mobiilset autentijat, hoiab Steam esemeid ootel kuni 15 päeva.
- Pikaajalise sõbra erand: Kui vahetuse vastuvõtja on olnud teie Steami sõbralistis katkematult üle 1 aasta, lüheneb ooteaeg 1 päevani.
- Müügikuulutused kogukonnatulul: Ilma mobiilse kinnituseta lisatud esemed jäävad 15 päevaks ootele enne, kui need teistele ostjatele nähtavaks muutuvad.
1. Mõlemal osapoolel peab olema Steam Guard mobiilne autentija aktiveeritud vähemalt 7 järjestikust päeva (168 tundi).
2. Esemete saatja peab vahetuse eraldi heaks kiitma mobiiliäpi jaotises "Kinnitused" (Confirmations).
3. Kumbki osapool ei tohi olla eelneva 7 päeva jooksul parooli lähtestanud või autentijat eemaldanud.
Mobiilsed kinnitused ja API-võtmete pettuste tõrjumine
Isegi töötava Steam Guardiga langevad mängijad sageli kurikuulsa Steami API-võtme pettuse (API Key Scam) ohvriks. Selle toimemehhanismi tundmine on igale esemetega kauplejale kriitilise tähtsusega.
Rünnaku kronoloogia samm-sammult:
- Andmepüük: Ohver külastab võltsitud esemevahetuse saiti, turniiriportaali või kastide avamise lehte ning logib sisse võltsitud Steami akna kaudu.
- Vaikne API-võtme registreerimine: Varastatud seansiküpsiste abil suundub ründaja robot Steami arendajaportaali (
steamcommunity.com/dev/apikey) ja registreerib seal oma domeenile salajase API-võtme. - Päris vahetuse pealtkuulamine: Päevi hiljem saadab ohver väärtusliku eseme (nt kalli CS2 noa) oma sõbrale või ametlikule kauplemisrobotile.
- Automaatne tühistamine ja kloonimine: Ründaja server, mis kontrollib API kaudu tehinguid iga 500 ms järel, märkab pooleliolevat vahetust. See tühistab koheselt õige vahetuse, kopeerib vastuvõtja avatari ja nime ning saadab ohvrile täpselt samasuguse võltsitud vahetuspakkumise omaenda kloonkontolt.
- Tähelepanematu kinnitus mobiilis: Ohver avab Steami mobiilirakenduse, näeb tuttavat pilti ja eset ning vajutab "Kinnita vahetus" ilma teise poole Steami taset või registreerimisaega vaatamata. Ese läheb otse ründajale.
- Kontrolli oma API-võtme lehte: Ava aadress
https://steamcommunity.com/dev/apikey. Kui sa pole arendaja ja seal on aktiivne võti, tühista see kohe ning vaheta parool. - Uuri mobiilis konto vanust: Enne vahetuse kinnitamist mobiilis vaata alati partneri konto loomise aega. Steam näitab registreerimisaastat (nt "Liige alates 2017"). Kui kauaaegse sõbra asemel seisab "Liige alates tänasest", tühista tehing viivitamatult.
- Uuenda vahetuse linki (Trade URL): Loo oma profiili sätetes uus vahetuse link, et varasemad lekked kehtetuks muuta.
shared_secret vs identity_secret: topeltvõtme arhitektuur
Steami mobiiliäpi turvasüsteem põhineb kahel erineval krüptovõtmel, mis luuakse seadistamisel ja talletatakse telefoni turvaalas:
- shared_secret: Base64-kodeeritud salavõti, mida kasutatakse ainult 5-kohaliste TOTP-koodide arvutamiseks sisselogimisel.
- identity_secret: Sõltumatu krüptovõti, millega allkirjastatakse HMAC-SHA1 tõendid Valve'i mobiilsete kinnituste API-des (
/mobileconf/getlistja/mobileconf/ajaxop). See võti autoriseerib pöördumatuid tehinguid: vahetuste heakskiitmist ja esemete müüki turul.
Paljud kauplejad kasutavad vahetuste automatiseerimiseks kolmandate osapoolte programme nagu Steam Desktop Authenticator (SDA). Need programmid eraldavad nii võtme shared_secret kui ka identity_secret ning salvestavad need arvuti kettale JSON-failina (.maFile).
See lõhub täielikult kaheastmelise autentimise põhireegli: seadmete füüsilise eraldatuse (Out-of-Band). Kui arvuti nakatub tavalise nuhkvaraga (RedLine, Lumma, Vidar), otsib see spetsiaalselt .maFile faile. Varastatud faili abil saab ründaja ilma teie telefoni omamata genereerida koode, tühistada vahetusi ja tühjendada kogu teie inventari minutitega.
Erakorraline tühistamine: ülim R-kood (Revocation Code)
Steam Guardi mobiilse autentija seadistamisel kuvatakse pärast SMS-koodi kinnitamist tähega R algav kood koos 5 numbriga (nt R12345). See on teie tühistamiskood ehk R-kood (Revocation Code).
R-koodi roll ja toime:
Erinevalt Google'i või Discordi varukoodidest ei logi Steami R-kood teid sisse. Selle ainus funktsioon on eemaldada mobiilne autentija konto küljest koheselt ja ühepoolselt.
Kui telefon varastatakse, kukub vette või kaob välisriigis, kus SIM-kaart ei tööta, avage arvuti brauser, klõpsake "Mul puudub ligipääs Steam Guardi koodidele", sisestage oma R-kood ja autentija eemaldatakse kontolt ilma SMS-kinnituste ja viivitusteta.
R-koodist telefoni galeriisse tehtud ekraanitõmmis on kasutu: kui telefon kaob või puruneb, kaob koos sellega ka R-kood. Kirjutage see paberile või talletage krüpteeritud paroolihalduris.
Telefoni vahetamine: samm-sammuline üleviimine ilma ooteaegadeta
Nutitelefoni uuendamisel teevad paljud mängijad vea, eemaldades autentija esmalt vanast telefonist, mis toob koheselt kaasa 15-päevase vahetuskeelu. Järgige selle asemel Valve'i ametlikku sujuvat üleviimisteed:
ÄRA eemalda autentijat vanast telefonist
Jätke vana seade puutumata. Autentija käsitsi eemaldamine langetab konto e-posti kaitsele, mis lülitab koheselt sisse kohustusliku 15-päevase kaubavahetuse keelu.
Paigalda Steami äpp uude telefoni
Laadige ametlik Steami rakendus alla Apple App Store'ist või Google Play poest. Käivitage see ning sisestage oma kasutajanimi ja parool.
Vali "Teisalda autentija sellesse seadmesse"
Kui küsitakse Steam Guardi koodi, valige "Aidake, mul pole enam juurdepääsu oma koodidele" ja seejärel valige "Teisalda autentija sellesse seadmesse" (Move authenticator to this device).
Kinnita SMS-iga saadetud kood
Steam saadab teie telefoninumbrile 6-kohalise kinnituskoodi. Sisestage see kood uude telefoni. Valve kannab krüptovõtmed üle uude seadmesse ja deaktiveerib vana telefoni.
✅ See üleviimisviis hoiab piirangud minimaalsena (tavaliselt lühike 2-päevane kaitseaeg täieliku 15-päevase keelu asemel).
Kolmeastmeline avariitaaste tegevuskava
1. tase: Telefon on kadunud, kuid number on alles
Hankige sideoperaatorilt asendus-SIM. Logige arvutis Steami sisse, valige "Mul puudub ligipääs koodidele" ning tellige SMS-kood. Selle koodiga saate vana seadme eemaldada või siduda uue telefoni.
2. tase: Telefon ja number on kadunud, kuid R-kood on alles
Minge lehele help.steampowered.com -> "Abi, ma ei saa sisse logida" -> "Kustutasin või kaotasin oma Steam Guardi mobiilse autentija" -> "Mul puudub juurdepääs sellele numbrile". Sisestage oma salvestatud R##### kood. Steam tühistab autentija seose viivitamatult.
3. tase: Täielik kaotus (pole telefoni, numbrit ega R-koodi) — omandiõiguse tõendamine
Saatke ametlik pilet Valve'i klienditoele. Peate esitama vettpidavad konto omandiõiguse tõendid (Proof of Account Ownership):
- Karbimängude CD-võtmed: Selged fotod füüsilistest mängukarpide CD-võtmetest koos käsitsi juurde kirjutatud tugipileti numbriga.
- Pangakaardi andmed: Kaardi omaniku nimi, arveldusaadress, pank ja ostuks kasutatud kaardi viimased 4 numbrit.
- Makseteenuste kviitungid: Steami ostudega seotud PayPali arve numbrid või maksekinnitused.
- Steam Walleti füüsilised kinkekaardid: Fotod kasutatud või kraapimata füüsilistest kinkekaartidest.
🛡️ Rünnaku järgne kriisiprotokoll: 6 kiiret sammu
Kui märkate kahtlast tegevust, võõraid vahetusi või kahtlustate oma andmete lekkimist, tegutsege koheselt:
- Muutke kohe parool: Vahetage Steami parool puhtas seadmes või mobiilis. Paroolivahetus tühistab koheselt aktiivsed veebiseansi tõendid.
- Deautoriseerige kõik seadmed: Avage Konto andmed -> Halda Steam Guardi -> vajutage "Tühista kõigi teiste seadmete volitused". See viskab välja kõik aktiivsed seansid arvutites ja äppides.
- Tühistage kompromiteeritud Web API võti: Minge lehele
steamcommunity.com/dev/apikeyja klõpsake "Tühista minu Steami Web API võti". - Genereerige uus vahetuse URL: Looge inventari privaatsussätetes uus kaubanduslink, et katkestada automatiseeritud robotite jälgimine.
- Lülitage sisse Steami perevaade (Family View): Seadistage 4-kohaline PIN-kood inventari ja vahetuste kaitsmiseks. Isegi kui ründaja saab uue seansi, ei pääse ta esemetele ilma PIN-koodita ligi.
- Kontrollige arvutit viiruste suhtes: Enne mänguarvutis uuesti Steami avamist tehke põhjalik viirusekontroll (Windows Defender või Malwarebytes), et eemaldada nuhkvara.
Korduma kippuvad küsimused (KKK)
Kas ma võin telefoni asemel kasutada arvutiprogrammi (nt SDA)? ▼
Kuigi SDA võimaldab vahetusi automatiseerida, lõhub autentija hoidmine samas arvutis, kus mängite ja veebi sirvite, kaheastmelise autentimise põhimõtte. Kui arvuti nakatub nuhkvaraga, varastatakse teie SDA failid ja inventar tehakse sekunditega tühjaks. Eraldiseisev nutitelefon on oluliselt turvalisem.
Miks on minu vahetused pärast parooli muutmist ootel? ▼
Vältimaks olukorda, kus parooli murdnud ründaja müüb kohe teie esemed maha, kehtestab Valve pärast parooli lähtestamist automaatse 2 kuni 7-päevase kaubanduskeelu. Piirang kaob määratud aja möödumisel iseenesest.
Kas Steami perevaade (Family View) hoiab konto kaaperdamist ära? ▼
Perevaade lisab tugeva lisakaitsekihi! Nõudes inventarile ja vahetustele ligipääsuks teist 4-kohalist PIN-koodi, ei saa seansiküpsise varastanud ründaja vahetusi alustada ega teie esemeid vaadata ilma PIN-koodi teadmata.
Genereeri universaalseid 2FA koode turvaliselt
Soovid genereerida standardseid RFC 6238 TOTP-koode oma mängu-, pilve- ja sotsiaalkontodele? Kasuta 2FA-Tooli 100% võrguühenduseta kliendipoolset kalkulaatorit.