Valven Steam-alusta ei ole pelkästään maailman johtava digitaalisen jakelun alusta PC-pelaamiseen; se ylläpitää myös useiden miljardien dollarien virtuaalitaloutta, jota ohjaavat vaihdettavat kosmeettiset esineet peleissä Counter-Strike 2 (CS2), Dota 2 ja Team Fortress 2. Koska virtuaaliset inventaariot edustavat likvidejä, rahanarvoisia hyödykkeitä, Steamin käyttäjätilit ovat jatkuvasti automatisoitujen kirjautumistietojen murtoyritysten ja tietojenkalasteluryhmien kohteena. Steam Guard -mobiilivahvistus on sekä ensisijainen biometrinen holvisi että välttämätön portti välittömään vertaiskauppaan ilman viiveitä.
Mukautettu Base32-mäppäys, joka sulkee pois vokaalit ja epäselvät merkit, aikasynkronoitu Valven palvelimien kanssa.
On oltava aktiivisena 7 peräkkäistä päivää (168 tuntia) välittömän kaupankäynnin avaamiseksi ja 15 päivän sulkutilan (escrow) välttämiseksi.
Näytetään vain kerran rekisteröitymisen yhteydessä. Takaa välittömän autentikaattorin poistamisen, jos laite katoaa.
Steam Guard -arkkitehtuuri: miksi 5 aakkosnumeerista merkkiä?
Google Authenticatorin tai pankkipalvelujen 6-numeroisiin desimaalitunnisteisiin tottuneet käyttäjät ihmettelevät usein Steamin tunnisteen muotoa. Steam Guard näyttää koodeja kuten K8MN2 tai R7WXY. Miksi Valve poikkesi standardin RFC 6238 desimaalitulosteesta?
1. Valven oma 26 merkin aakkosto ja merkkien selkeys
Standardi RFC 6238 johtaa 6-numeroisen tunnisteen laskemalla 31-bittisen kokonaisluvun HMAC-SHA1-tiivisteestä ja laskemalla mod 10^6. Valven insinöörit loivat vaihtoehtoisen korvausrakenteen, joka käyttää 26 merkin aakkostoa:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Tämä rakenne on huomattava osoitus käyttäjälähtöisestä tietoturvasuunnittelusta. Poistamalla visuaalisesti helposti sekoittuvat merkit (kuten numero 0 ja kirjain O sekä numero 1 ja kirjaimet I ja L) kirjoitusvirheet vähenevät dramaattisesti. Mikä tärkeintä, sulkemalla pois kaikki englannin kielen vokaalit (A, E, I, O, U) 5-merkkinen merkkijono ei voi vahingossa muodostaa loukkaavia englanninkielisiä sanoja ruudulle.
2. Reaaliaikainen aikasynkronointi ITwoFactorService-rajapinnan kautta
Perinteiset TOTP-autentikaattorit luottavat yksinomaan älypuhelimen käyttöjärjestelmän kelloon. 30 sekunnin heitto johtaa virheellisiin koodeihin. Valve ratkaisee tämän tekemällä Steam Mobile -sovelluksesta kyselyn Valven palvelinklusterin aikaleimapäätepisteeseen: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobiilisovellus laskee tarkan aikapoikkeaman suhteessa Valven atomikelloon. Vaikka käyttäjä siirtäisi puhelimensa kelloa kaksi tuntia taaksepäin, Steam Guard luo silti matemaattisesti päteviä koodeja.
| Tunnistusmekanismi | Koodin muoto | Aikaikkuna | Yhteensopivuus muiden TOTP-sovellusten kanssa | Vapautus vaihtosulkutilasta (escrow) |
|---|---|---|---|---|
| Steam Guard -mobiilivahvistus | 5 aakkosnumeerista (M78KQ) | 30 sekuntia | Oma toteutus (vaatii shared_secret-avaimen purkamisen) | ✅ Välitön (7 päivän jälkeen) |
| Steam Guard -sähköpostivahvistus | 5 aakkosnumeerista (sähköpostitse) | Dynaaminen / Kertakäyttöinen | Ei yhteensopiva | ❌ Pakollinen 15 päivän viive |
| Standardi RFC 6238 (esim. 2FA-Tool) | 6 desimaalinumeroa (123456) | 30 sekuntia | Yleinen alan standardi | Ei sovellettavissa Steamin vaihtotoimintoihin |
15 päivän vaihtoviiveiden (escrow) ohittaminen
Ennen loppuvuotta 2015 tuhansilta Steamin käyttäjiltä vietiin virtuaaliesineitä päivittäin tietojenkalastelun ja haittaohjelmien kautta. Koska esineiden vaihdot olivat välittömiä ja peruuttamattomia, varastetut esineet siirtyivät rahanpesuverkostojen läpi muutamassa tunnissa. Poistaakseen tilivarkauksien taloudelliset kannustimet Valve otti käyttöön vaihtoviiveet (Trade Holds / Escrow) ja yhteisötori-viiveet (Market Holds).
Sulkutilan laukaisumekanismit ja kynnysarvot:
- Vaihtaminen ilman mobiilivahvistusta: Jos vaihtoa tekevällä käyttäjällä ei ole aktiivista mobiilivahvistinta tilillään, luovutetut esineet pidätetään Steamin sulkutilassa (escrow) jopa 15 päivän ajan.
- Pitkäaikaisten ystävien poikkeus: Jos vastaanottaja on ollut Steam-kaveriluettelossasi yli 1 yhtäjaksoisen vuoden ajan, viive lyhenee 1 päivään.
- Yhteisön kauppapaikan ilmoitukset: Ilman mobiilivahvistusta luodut myynti-ilmoitukset asetetaan sulkutilaan jopa 15 päiväksi ennen kuin ne tulevat näkyviin Steam Community Marketissa.
1. Molemmilla kauppakumppaneilla on oltava Steam Guard -mobiilivahvistus aktivoituna tilillään vähintään 7 täyttä peräkkäistä päivää (168 tuntia).
2. Lähettäjän on hyväksyttävä lähtevä vaihto Steam-mobiilisovelluksensa "Vahvistukset" (Confirmations) -osiossa.
3. Kumpikaan osapuoli ei ole saanut suorittaa salasanan nollausta tai autentikaattorin poistoa edeltävien 7 päivän aikana.
Mobiilivahvistukset ja API-avainhuijausten torjunta
Vaikka Steam Guard olisi käytössä, pelaajat joutuvat toistuvasti pahamaineisen Steamin API-avainhuijauksen (Trade Interception Phishing) uhreiksi. Tämän hyökkäysvektorin ymmärtäminen on välttämätöntä esineiden vaihtajille.
Hyökkäyksen toteutuksen kronologia:
- Kirjautumistietojen kalastelu (Credential Harvesting): Uhri vierailee väärennetyllä skinien vaihtosivustolla, turnausportaalissa tai laatikonavaussivustolla ja kirjautuu sisään valheellisen "Sign in through Steam" -dialogin kautta.
- Salainen Web API -avaimen luonti (Silent Web API Key Provisioning): Varastettujen istuntoevästeiden avulla hyökkääjän botti siirtyy Steamin kehittäjäkonsoliin (
steamcommunity.com/dev/apikey) ja rekisteröi API-avaimen hyökkääjän verkkotunnukselle. - Automaattinen vaihtotarjouksen väliintulo (Automated Trade Offer Interception): Päiviä myöhemmin uhri lähettää 1 000 dollarin arvoisen CS2-veitsen sisältävän vaihtotarjouksen lailliselle vaihtobotille tai ystävälleen.
- Välitön peruutus ja kloonin esiintyminen (Instant Cancellation & Clone Impersonation): Hyökkääjän palvelin, joka tekee kyselyjä Steamin Web API -rajapintaan 500 ms välein, havaitsee odottavan tarjouksen. Se peruuttaa automaattisesti oikean vaihdon, kopioi vastaanottajan profiilikuvan ja nimen, luo identtisen bottiprofiilin Steamiin ja lähettää uhrille samanlaisen vaihtotarjouksen.
- Huolimaton mobiilivahvistus (Careless Mobile Confirmation): Uhri avaa Steam-mobiilisovelluksensa. Nähdessään tutun profiilikuvan ja veitsen hän napauttaa "Vahvista vaihto" tarkistamatta vastaanottajan tilin luontipäivää tai Steam-tasoa. Esine siirtyy suoraan hyökkääjän inventaarioon.
- Tarkista API-avainsivusi: Siirry osoitteeseen
https://steamcommunity.com/dev/apikey. Jos et ole kehittäjä ja näet aktiivisen avaimen, peruuta se välittömästi ja vaihda Steam-salasanasi. - Tarkista tilin ikä mobiilisovelluksessa: Kun vahvistat vaihtoa Steam-sovelluksessa, tarkista vastaanottajan tiedot huolellisesti. Steam näyttää tarkan rekisteröintivuoden (esim. "Jäsen vuodesta 2017"). Jos pitkäaikaiselle kaverille tarkoitetussa vaihdossa lukee "Jäsen tästä päivästä alkaen", peruuta vaihto heti.
- Nollaa vaihto-osoite (Trade URL): Luo inventaarioasetuksissasi uusi vaihtotarjous-URL mitätöidäksesi aiemmin vuotaneet osoitteet.
Kryptografinen anatomia: shared_secret vs identity_secret -kaksoisarkkitehtuuri
Valven mobiilisovellusarkkitehtuurin taustalla Steam Guard perustuu kahteen erilliseen kryptografiseen avaimeen, jotka luodaan rekisteröitymisen aikana ja suojataan älypuhelimen eristettyyn paikalliseen tallennustilaan:
- shared_secret: Base64-koodattu salainen avain, jota käytetään yksinomaan laitteen näytöllä näkyvien 5-merkkisten TOTP-koodien luomiseen työpöytäasiakasohjelman ja selaimen interaktiivisia kirjautumisia varten.
- identity_secret: Erillinen kryptografinen avain, jolla allekirjoitetaan digitaalisesti HMAC-SHA1-tunnisteet Valven mobiilivahvistusrajapintoihin (
/mobileconf/getlistja/mobileconf/ajaxop). Tämä avain valtuuttaa peruuttamattomat toimenpiteet: lähtevien vaihtojen hyväksymisen ja arvokkaiden esineiden listaamisen Steam-yhteisön kauppapaikalle.
Monet suuria määriä virtuaaliesineitä vaihtavat käyttäjät turvautuvat avoimen lähdekoodin kolmannen osapuolen työpöytäohjelmiin, kuten Steam Desktop Authenticatoriin (SDA), automatisoidakseen vaihtojen vahvistukset. SDA purkaa sekä shared_secret- että identity_secret-avaimet ja tallentaa ne selkokielisinä tai heikosti salattuina JSON-metatietotiedostoina (.maFile) käyttäjän paikalliselle Windows-levylle.
Tämä toimintatapa tuhoaa kaksivaiheisen tunnistautumisen keskeisen tietoturvaperiaatteen: fyysisesti erillisen laitteen (Out-of-Band) eristyksen. Kun tietovaras-troijalainen (kuten RedLine, Lumma tai Vidar) saastuttaa pelitietokoneen, se etsii järjestelmällisesti tallennusasemilta .maFile-tiedostoja. Kun tiedostot on varastettu, hyökkääjä ei edes tarvitse fyysistä pääsyä puhelimeesi; heidän automatisoitu bottiverkkonsa lataa salaisuutesi, luo kelvollisia kirjautumistunnisteita, peruuttaa todelliset vaihtosi ja allekirjoittaa uudet mobiilivahvistukset tyhjentääkseen koko inventaariosi muutamassa minuutissa.
Hätäperuutus: R-koodin suuri merkitys
Kun otat Steam Guard -mobiilivahvistuksen käyttöön tekstiviestivahvistuksen jälkeen, sovellus näyttää koodin, joka alkaa kirjaimella R ja jota seuraa 5 numeroa (esim. R12345). Tämä on peruutuskoodisi (R-koodi / Revocation Code).
R-koodin teho ja toiminta-alue:
Toisin kuin Googlen tai Discordin varakoodit (jotka tarjoavat kertaluonteisia kirjautumisistuntoja), Steamin R-koodi ei kirjaa sinua sisään. Sen ainoa arkkitehtoninen tehtävä on yksipuolisesti peruuttaa ja irrottaa mobiilivahvistin tililtäsi.
Jos puhelimesi varastetaan, putoaa veteen tai katoaa ulkomailla, missä SIM-korttisi ei toimi, voit avata minkä tahansa työpöytäselaimen, valita "Minulla ei ole pääsyä Steam Guard -mobiilivahvistimeen", syöttää R-koodisi, ja autentikaattori poistetaan välittömästi ilman tekstiviestejä tai mobiilihyväksyntöjä.
Kuvakaappauksen tallentaminen puhelimen kuvagalleriaan kumoaa sen tarkoituksen: kun puhelimesi katoaa tai hajoaa, myös R-koodi katoaa sen mukana. Kirjoita se fyysiselle paperille tai tallenna salattuun salasanojen hallintaohjelmaan (1Password, Bitwarden, KeePassXC).
Puhelimen vaihtaminen: vaiheittainen siirto ilman vaihtoviiveitä
Aina kun pelaajat päivittävät iPhone- tai Android-laitteensa, monet tekevät sen virheen, että he poistavat autentikaattorin ensin vanhasta puhelimesta, mikä aiheuttaa ankaran 15 päivän vaihtoviiveen. Seuraa sen sijaan Valven virallista saumatonta siirtomenetelmää:
ÄLÄ poista autentikaattoria vanhasta puhelimesta
Jätä vanha laite koskemattomaksi. Manuaalinen poistaminen pudottaa tilin suojauksen sähköpostivahvistukseen, mikä asettaa tilille välittömästi pakollisen vaihtokiellon.
Asenna Steam-sovellus uuteen puhelimeen
Lataa virallinen Steam-sovellus Apple App Storesta tai Google Play Kaupasta. Käynnistä sovellus ja syötä käyttäjätunnuksesi ja salasanasi.
Valitse "Siirrä autentikaattori tähän laitteeseen"
Kun sovellus pyytää nykyistä Steam Guard -koodia, napauta "Auttakaa, minulla ei ole enää pääsyä Steam Guard -mobiilivahvistuskoodiini". Valitse sitten "Siirrä autentikaattori tähän laitteeseen".
Vahvista tekstiviestikoodilla
Steam lähettää 6-numeroisen tekstiviestivahvistuskoodin rekisteröityyn puhelinnumeroosi. Syötä tämä koodi uuteen puhelimeen. Valve siirtää kryptografisen avainmateriaalin uuteen laitteeseesi ja poistaa vanhan puhelimen valtuutuksen.
✅ Tämä siirtomenetelmä minimoi vaihtojen jäädytysajan (yleensä lyhyt 2 päivän viive täyden 15 päivän sulkutilan sijaan).
Kolmitasoinen katastrofipalautussuunnitelma
Taso 1: Puhelin kadonnut, mutta puhelinnumero säilytetty
Hanki korvaava SIM-kortti matkapuhelinoperaattoriltasi. Kirjaudu Steamiin työpöytäselaimella, valitse "Minulla ei ole pääsyä autentikaattoriini" ja valitse tekstiviestipalautus. Syötä koodi poistaaksesi vanhan laitteen tai ottaaksesi käyttöön uuden.
Taso 2: Puhelin ja puhelinnumero kadonneet, mutta R-koodi tallessa
Siirry osoitteeseen help.steampowered.com -> "Apua, en voi kirjautua sisään" -> "Poistin tai kadotin Steam Guard -mobiilivahvistimeni" -> "Minulla ei ole enää pääsyä tähän puhelinnumeroon". Syötä tallentamasi R#####-koodi. Steam katkaisee autentikaattorisidoksen välittömästi.
Taso 3: Täysi menetys (ei puhelinta, ei numeroa, ei R-koodia) — Tilin omistajuuden todistaminen
Lähetä tukipyyntö Valvelle. Sinun on toimitettava juridisesti kiistaton todiste tilin omistajuudesta (Proof of Account Ownership):
- Pelien fyysiset CD-avaimet: Selkeät valokuvat fyysisistä pelikoteloista, joissa CD-Key-tarra näkyy käsin kirjoitetun tukipyynnön viitenumeron rinnalla.
- Luottokorttivahvistus: Kortinhaltijan nimi, laskutusosoite, kortin myöntäjä ja Steam-ostoksiin käytetyn kortin 4 viimeistä numeroa.
- Kolmansien osapuolten maksukuitit: PayPalin laskutunnukset tai Alipay / WeChat -maksutositenumerot, jotka liittyvät Steam-ostoihin.
- Fyysiset Steam Wallet -lahjakortit: Valokuvat raaputtamattomista tai lunastetuista fyysisistä Steam Wallet -korteista.
🛡️ Murron jälkeinen tilannehallinta: 6-vaiheinen tapahtumavasteprotokolla
Jos havaitset epäilyttävää tilitoimintaa, poikkeavia esineiden vaihtoja tai epäilet kirjautumistietojesi vuotaneen, suorita tämä kriittinen toimenpidelista välittömästi:
- Pakota salasanan vaihto (Force Password Rotation): Päivitä Steam-pääsalasanasi välittömästi suojatulta ja puhtaalta toissijaiselta laitteelta tai älypuhelimelta. Pääsalasanan vaihtaminen katkaisee välittömästi kaikki aktiiviset selainistunnot.
- Poista kaikkien aktiivisten laitteiden valtuutus (Deauthorize All Active Devices): Siirry Steamin tilitietoihin -> Hallinnoi Steam Guardia -> napsauta "Poista kaikkien muiden laitteiden valtuutus". Tämä poistaa aktiiviset istuntoevästeet kaikista työpöytäasennuksista ja mobiilisovelluksista.
- Peruuta vaarantunut Web API -avain (Revoke Compromised Web API Key): Siirry osoitteeseen
steamcommunity.com/dev/apikeyja napsauta "Peruuta Steam Web API -avaimeni" katkaistaksesi hakkeribottien rajapinnat. - Luo uusi vaihtotarjous-URL (Regenerate Trade Offer URL): Luo inventaariosi vaihtotarjousten yksityisyysasetuksissa uusi osoite katkaistaksesi automatisoitujen tietojenkerääjien seurannan.
- Aktivoi Steamin perhenäkymän suojaus (Activate Steam Family View Protection): Määritä 4-numeroinen perhenäkymän PIN-koodi, joka suojaa inventaarion ja vaihtojen käytön. Vaikka hyökkääjä saisi haltuunsa verkkoistuntoevästeen, hän ei voi tarkastella tai vaihtaa esineitä ilman PIN-koodia.
- Suorita laitteiston täydellinen puhdistus (Conduct Full Host Endpoint Sanitization): Suorita offline-haittaohjelmatarkistus Windows Defenderillä tai Malwarebytesilla poistaaksesi tietovarasohjelmat ennen Steamin käynnistämistä ensisijaisella pelitietokoneellasi.
Usein kysytyt kysymykset (UKK)
Voinko käyttää työpöytäohjelmistoa (kuten SDA - Steam Desktop Authenticator) puhelimen sijaan? ▼
Vaikka avoimen lähdekoodin kolmannen osapuolen työkalut, kuten SDA, voivat purkaa Steam-salaisuutesi ja automatisoida vaihtovahvistukset, autentikaattorin ajaminen samalla tietokoneella, jota käytetään pelaamiseen ja verkon selaamiseen, tuhoaa erillisen laitteen (Out-of-Band) tietoturvarajan. Jos työasemaasi tarttuu tietovaras-troijalainen, hyökkääjät anastavat SDA-tietokantatiedostosi ja tyhjentävät inventaariosi sekunneissa. Erilliset fyysiset matkapuhelimet ovat edelleen turvallisin ratkaisu.
Miksi vaihtoni ovat estettyinä Steam-salasanan vaihtamisen jälkeen? ▼
Estääkseen salasanasi murtanutta tai arvannutta hyökkääjää tyhjentämästä inventaariotasi välittömästi, Valve asettaa automaattisen 2–7 päivän vaihtojäähyajan salasanan nollauksen jälkeen. Rajoitus poistuu automaattisesti jäähyajan päätyttyä.
Estääkö Steamin perhenäkymä (Family View) tilin kaappauksen? ▼
Perhenäkymä tarjoaa erinomaisen monikerroksisen suojan! Vaatimalla toissijaisen 4-numeroisen PIN-koodin inventaarioon, vaihtotarjouksiin ja kauppapaikkaan pääsemiseksi hyökkääjä, joka pääsee käsiksi aktiiviseen verkkoistuntoosi, ei voi aloittaa vaihtoja tai tarkastella inventaariotasi ratkaisematta ensin PIN-koodia.
Luo universaaleja 2FA-tunnisteita turvallisesti
Haluatko luoda standardeja RFC 6238 TOTP -tunnisteita peli-, pilvi- ja sosiaalisen median tileillesi? Käytä 2FA-Toolin 100 % offline-tilassa toimivaa asiakaspuolen laskinta.