Ang Steam platform ng Valve ay hindi lamang ang pangunahing digital distribution platform sa buong mundo para sa PC gaming; sinusuportahan din nito ang multi-bilyong dolyar na virtual na ekonomiya na pinatatakbo ng mga naililipat na cosmetic item sa Counter-Strike 2 (CS2), Dota 2, at Team Fortress 2. Dahil ang mga virtual inventory ay kumakatawan sa liquid at fungible na mga asset, ang mga account ng gumagamit ng Steam ay sistematikong pinupuntirya ng mga automated credential stuffer at phishing syndicate. Ang Steam Guard Mobile Authenticator ay parehong iyong pangunahing biometric vault at ang kailangang-kailangan na gateway patungo sa zero-latency peer-to-peer trading.
Custom na Base32 mapping na nag-aalis ng mga patinig at malalabong glyph, naka-time-sync sa mga server ng Valve.
Dapat aktibo nang 7 magkakasunod na araw (168 oras) upang ma-unlock ang agarang trading at maiwasan ang 15-araw na escrow hold.
Ipinapakita lamang nang isang beses habang nag-eenroll. Ginagarantiyahan ang agarang pag-alis ng authenticator kung mawala ang hardware.
Arkitektura ng Steam Guard: Bakit 5 Alphanumeric Character?
Ang mga gumagamit na nasanay sa 6-digit decimal tokens mula sa Google Authenticator o mga hardware banking fob ay madalas na nagtataka sa format ng token ng Steam. Ang Steam Guard ay nagpapakita ng mga code tulad ng K8MN2 o R7WXY. Bakit lumihis ang Valve mula sa karaniwang decimal output ng RFC 6238?
1. Pagmamay-ari na 26-Character Mapping at Paglilinaw ng Glyph
Ang karaniwang RFC 6238 ay kumukuha ng 6-digit token sa pamamagitan ng pag-compute ng 31-bit integer mula sa HMAC-SHA1 digest at pagkalkula ng mod 10^6. Ang mga inhinyero ng Valve ay nagtatag ng isang alternatibong mapping structure gamit ang isang 26-character na alpabeto:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Ang mapping na ito ay nagpapakita ng kapansin-pansing human-factor security engineering. Sa pamamagitan ng pag-alis ng mga karakter na malabong makita (tulad ng digit na 0 laban sa titik na O, at digit na 1 laban sa mga titik na I at L), lubhang bumababa ang mga error sa pag-type. Higit sa lahat, sa pamamagitan ng pagbubukod sa lahat ng patinig sa Ingles (A, E, I, O, U), ang 5-character string ay hindi maaaring aksidenteng makabuo ng mga nakakasakit na salitang Ingles sa screen.
2. Real-Time Time Synchronization sa Pamamagitan ng ITwoFactorService
Ang tradisyunal na mga TOTP authenticator ay umaasa lamang sa orasan ng operating system ng smartphone ng kliyente. Ang 30-segundong pagkakaiba (skew) ay nagreresulta sa mga di-wastong token. Nalulutas ito ng Valve sa pamamagitan ng pagpapahintulot sa Steam Mobile App na i-query ang cluster timestamp endpoint ng Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Kinakalkula ng mobile client ang eksaktong offset laban sa atomic cluster ng Valve. Kahit na manu-manong iatras ng user ang orasan ng kanilang smartphone nang dalawang oras, ang Steam Guard ay gumagawa pa rin ng mga token na may wastong matematika.
| Mekanismo ng Pagpapatotoo | Format ng Code | Window | Pagkakatugma sa Third-Party TOTP | Exemption sa Trade Escrow |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 Alphanumeric (M78KQ) | 30 Segundo | Proprietary (Nangangailangan ng pag-extract ng shared_secret) | ✅ Agaran (Pagkatapos ng 7 araw) |
| Steam Guard Email Validation | 5 Alphanumeric (Sa pamamagitan ng Email) | Dynamic / One-Off | Hindi Tugma | ❌ Sapilitang 15-Araw na Hold |
| Standard RFC 6238 (hal. 2FA-Tool) | 6 Decimal Digits (123456) | 30 Segundo | Pangkalahatang Pamantayan sa Industriya | Hindi Naaangkop sa Steam Trade |
Pag-iwas sa 15-Araw na Trade Hold (Patakaran sa Trade Escrow)
Bago sumapit ang huling bahagi ng 2015, libu-libong gumagamit ng Steam ang nananakawan ng kanilang mga virtual inventory araw-araw sa pamamagitan ng phishing at malware. Dahil ang mga palitan ay agaran at hindi mababawi, ang mga ninakaw na item ay mabilis na naipapasa sa mga laundering ring sa loob lamang ng ilang oras. Upang buwagin ang komersyal na motibo para sa pagnanakaw ng account, itinatag ng Valve ang Trade Holds (Escrow) at Market Holds.
Mga Mekanismo at Threshold sa Pag-trigger ng Escrow:
- Pakikipag-trade Nang Walang Mobile Authenticator: Kung ang nakikipag-trade na user ay walang aktibong Mobile Authenticator sa kanilang account, ang mga item na ipinagpalit ay hahawakan sa escrow ng Steam nang hanggang 15 araw.
- Eksepsiyon para sa Matagalang Kaibigan: Kung ang tatanggap ng palitan ay nasa listahan ng iyong Steam Friends nang higit sa 1 tuloy-tuloy na taon, ang hold ay nababawasan sa 1 araw.
- Mga Listing sa Community Market: Ang mga listing na ginawa nang walang kumpirmasyon sa mobile ay itinatabi sa escrow nang hanggang 15 araw bago maging nakikita sa Steam Community Market.
1. Ang parehong partido sa trade ay dapat may Steam Guard Mobile Authenticator na pinagana sa kanilang mga account nang hindi bababa sa 7 buong magkakasunod na araw (168 oras).
2. Dapat aprubahan ng nagpapadala ang papalabas na palitan sa seksyong "Confirmations" ng kanilang mobile Steam app.
3. Walang alinman sa mga partido ang dapat nagsagawa ng unlinked password reset o pag-alis ng authenticator sa loob ng nakalipas na 7 araw.
Mga Pagkumpirma sa Mobile at Pagtatanggol Laban sa API Key Scam
Kahit na naka-enable ang Steam Guard, madalas pa ring nabibiktima ang mga gamer sa kilalang Steam API Key Scam (Trade Interception Phishing). Ang pag-unawa sa vector ng pag-atakeng ito ay mahalaga para sa mga skin trader.
Kronolohiya ng Pagpapatupad ng Pag-atake:
- Pangongolekta ng Kredensyal (Credential Harvesting): Binisita ng biktima ang isang pekeng palitan ng skin, tournament portal, o case-opening site at nagpapatotoo sa pamamagitan ng isang huwad na dialog ng "Sign in through Steam".
- Lihim na Paglalaan ng Web API Key (Silent Web API Key Provisioning): Gamit ang nanakaw na session cookies, ang bot ng sumasalakay ay tahimik na nagna-navigate sa developer console ng Steam (
steamcommunity.com/dev/apikey) at nagrerehistro ng API Key sa ilalim ng domain ng sumasalakay. - Awtomatikong Pagsabat sa Alok ng Trade (Automated Trade Offer Interception): Pagkaraan ng ilang araw, ang biktima ay nagpapadala ng alok ng trade na naglalaman ng $1,000 CS2 knife sa isang lehitimong trading bot o kaibigan.
- Agarang Pagkansela at Pagpapanggap Gamit ang Clone (Instant Cancellation & Clone Impersonation): Ang server ng sumasalakay, na nagpo-poll sa Steam Web API bawat 500ms, ay nakikita ang nakabinbing alok. Awtomatiko nitong kinakansela ang tunay na trade, kinokopya ang avatar at pangalan ng profile ng tatanggap, gumagawa ng magkaparehong bot profile sa Steam, at nagpapadala ng parehong alok ng trade sa biktima.
- Hindi Maingat na Pagkumpirma sa Mobile (Careless Mobile Confirmation): Binuksan ng biktima ang kanilang Steam mobile app. Sa pagkakita sa pamilyar na avatar at knife, pinipindot nila ang "Confirm Trade" nang hindi sinusuri ang petsa ng paggawa ng account o ang Steam Level ng tatanggap. Direktang naililipat ang item sa inventory ng sumasalakay.
- I-audit ang Iyong Pahina ng API Key: Mag-navigate sa
https://steamcommunity.com/dev/apikey. Kung hindi ka developer at nakakakita ka ng aktibong key, bawiin ito kaagad at palitan ang iyong password sa Steam. - Suriin ang Edad ng Account sa Mobile: Kapag nagkukumpirma ng palitan sa Steam app, maingat na suriin ang mga detalye ng tatanggap. Ipinapakita ng Steam ang eksaktong taon ng pagpaparehistro (hal., "Member since 2017"). Kung ang isang palitan na para sa isang matagal nang kasosyo ay nagpapakita ng "Member since today", kanselahin ito kaagad.
- I-reset ang Trade URL: Sa iyong mga setting ng inventory, bumuo ng bagong URL ng alok sa trade upang mapawalang-bisa ang mga naunang na-leak na endpoint.
Cryptographic Anatomy: shared_secret vs identity_secret Dual Architecture
Sa ilalim ng arkitektura ng mobile application ng Valve, ang Steam Guard ay umaasa sa dalawang magkahiwalay na cryptographic key na binuo habang nag-eenroll at nakaselyo sa loob ng sandboxed local storage ng smartphone:
- shared_secret: Isang Base64-encoded na secret key na eksklusibong ginagamit upang makuha ang 5-character TOTP codes na ipinapakita sa screen ng iyong device para sa mga interactive desktop client at browser logins.
- identity_secret: Isang independiyenteng cryptographic key na ginagamit upang digitally lagdaan ang HMAC-SHA1 tokens na ipinapadala sa mobile confirmation API endpoints ng Valve (
/mobileconf/getlistat/mobileconf/ajaxop). Pinapahintulutan ng key na ito ang mga hindi na mababawing operasyon: pag-apruba ng papalabas na mga palitan at paglilista ng mahahalagang asset sa Steam Community Market.
Maraming high-volume virtual item trader ang gumagamit ng mga third-party open-source desktop utility tulad ng Steam Desktop Authenticator (SDA) upang i-automate ang mga pagkumpirma sa palitan. Kinukuha ng SDA ang parehong shared_secret at identity_secret, at sine-save ang mga ito bilang plaintext o mahinang naka-encrypt na JSON metadata files (.maFile) sa lokal na Windows filesystem ng user.
Sinisira ng prosesong ito ang pangunahing axiom sa seguridad ng two-factor authentication: Out-of-Band (OOB) hardware isolation. Kapag ang isang infostealer trojan (tulad ng RedLine, Lumma, o Vidar) ay pumasok sa gaming PC, partikular nitong sinusuyod ang storage drive ng user para sa mga .maFile artifact. Kapag nanakaw, hindi na kailangan ng attacker ang pisikal na access sa iyong telepono; ang kanilang automated bot network ay naglo-load ng iyong mga sikreto, bumubuo ng wastong login tokens, kinakansela ang iyong mga totoong palitan, at lumalagda ng mga bagong kumpirmasyon sa mobile upang linisin ang iyong buong inventory sa loob lamang ng ilang minuto.
Emergency Revocation: Ang Makapangyarihang R-Code
Kapag nag-enroll ka sa Steam Guard Mobile Authenticator, pagkatapos ma-verify ang iyong cellular SMS code, magpapakita ang application ng isang code na nagsisimula sa titik na R na sinusundan ng 5 digit (hal., R12345). Ito ang iyong Revocation Code (R-Code).
Ang Kapangyarihan at Saklaw ng R-Code:
Hindi tulad ng mga backup code ng Google o Discord (na nagbibigay ng one-time login sessions), ang R-Code ng Steam ay hindi nagla-log in sa iyo. Ang tanging arkitektural na tungkulin nito ay unilateral na bawiin at idiskonekta ang mobile authenticator mula sa iyong account.
Kung ang iyong telepono ay nanakaw, lumubog sa tubig, o nawala sa ibang bansa kung saan hindi makapag-roam ang iyong SIM card, maaari kang magbukas ng anumang desktop browser, i-click ang "I can't access my Steam Guard Mobile Authenticator", ipasok ang iyong R-Code, at agad na aalisin ang authenticator nang walang SMS prompts o mga pag-apruba sa mobile.
Ang pag-save ng screenshot ng iyong R-Code sa camera roll ng iyong smartphone ay sumisira sa layunin nito: kapag nawala o nasira ang iyong telepono, mawawala rin ang iyong R-Code kasama nito. Isulat ito sa pisikal na papel o iimbak sa isang naka-encrypt na vault (1Password, Bitwarden, KeePassXC).
Pag-upgrade ng Telepono: Hakbang-hakbang na Paglipat Nang Walang Trade Hold
Sa tuwing ina-upgrade ng mga gamer ang kanilang mga iPhone o Android device, marami ang nagkakamali sa pag-alis muna ng authenticator sa lumang telepono, na nagti-trigger ng nakakapinsalang 15-araw na trade escrow. Sa halip, sundin ang opisyal at maayos na proseso ng paglipat ng Valve:
HUWAG Alisin ang Authenticator sa Lumang Telepono
Hayaang hindi ginalaw ang lumang device. Ang manu-manong pag-alis ay nagpapababa sa proteksyon ng account patungo sa email Guard, na agad na naglalapat ng sapilitang embargo sa trade.
I-install ang Steam App sa Bagong Telepono
I-download ang opisyal na Steam application mula sa Apple App Store o Google Play Store. Ilunsad ang app at ipasok ang iyong username at password.
Piliin ang "Move Authenticator to This Device"
Kapag hiningi ang kasalukuyang Steam Guard code, i-tap ang "Please help, I no longer have access to my Steam Guard Mobile Authenticator codes". Pagkatapos ay piliin ang "Move authenticator to this device".
Kumpirmahin sa Pamamagitan ng SMS Verification Code
Nagpapadala ang Steam ng 6-digit SMS verification code sa iyong nakarehistrong cellular number. Isumite ang code na ito sa bagong telepono. Inililipat ng Valve ang cryptographic keying material sa iyong bagong device at inaalis ang awtorisasyon ng lumang telepono.
✅ Ang prosesong ito ng migrasyon ay nagpapanatili sa mga trade cooldown sa pinakamababa (karaniwang isang maikling 2-araw na hold sa halip na ang buong 15-araw na parusa ng escrow).
Tatlong-Antas na Gabay sa Pagbawi mula sa Sakuna (Disaster Recovery Playbook)
Tier 1: Nawala ang Telepono, ngunit Napanatili ang Numero ng Telepono
Kumuha ng kapalit na SIM card mula sa iyong cellular carrier. Sa isang desktop browser, mag-log in sa Steam, piliin ang "I don't have access to my authenticator", at piliin ang SMS recovery. Isumite ang code upang alisin ang lumang device o mag-provision ng bago.
Tier 2: Nawala ang Telepono at Numero ng Telepono, ngunit May R-Code
Pumunta sa help.steampowered.com -> "Help, I can't sign in" -> "I deleted or lost my Steam Guard Mobile Authenticator" -> "I no longer have access to this phone number". Ipasok ang iyong na-save na R##### code. Agad na ititigil ng Steam ang pagkakaugnay ng authenticator.
Tier 3: Kabuuang Pagkawala (Walang Telepono, Walang Numero, Walang R-Code) — Patunay ng Pagmamay-ari
Magsumite ng manu-manong support ticket sa Valve. Dapat kang magbigay ng legal na maipagtatanggol na Patunay ng Pagmamay-ari ng Account (Proof of Account Ownership):
- Mga Retail Game CD-Key: Malinaw na mga litrato ng pisikal na mga kahon ng laro na nagpapakita ng sticker ng CD-Key kasama ang iyong sulat-kamay na reference number ng support ticket.
- Pag-verify ng Credit Card: Pangalan sa card, billing address, nag-isyu ng card, at huling 4 na digit na ginamit para sa mga pagbili sa Steam.
- Mga Resibo ng Pagbabayad mula sa Third-Party: Mga PayPal Invoice ID o mga transaction receipt number ng Alipay / WeChat na naka-link sa mga pagbili sa Steam.
- Pisikal na Steam Wallet Card: Mga litrato ng hindi pa nakaskas o na-redeem na pisikal na mga Steam Wallet card.
🛡️ Triage Pagkatapos ng Pag-atake: Ang 6-Hakbang na Protokol sa Pagtugon sa Insidente
Kung makakita ka ng kahina-hinalang aktibidad sa account, mga abnormal na palitan, o pinaghihinalaan mong nanakaw ang iyong mga kredensyal, isagawa agad ang kritikal na checklist sa pagpigil ng insidente:
- Piliting Magpalit ng Password (Force Password Rotation): I-update agad ang iyong master password sa Steam mula sa isang ligtas at malinis na pangalawang device o smartphone. Ang pagpapalit ng master password ay agad na nagwawakas sa mga aktibong browser session token.
- Alisin ang Awtorisasyon ng Lahat ng Aktibong Device (Deauthorize All Active Devices): Mag-navigate sa Steam Account Details -> Manage Steam Guard -> i-click ang "Deauthorize all other devices". Nililinis nito ang mga aktibong session cookie sa lahat ng desktop installation at mobile app.
- Bawiin ang Nakumpromisong Web API Key (Revoke Compromised Web API Key): Pumunta sa
steamcommunity.com/dev/apikeyat i-click ang "Revoke My Steam Web API Key" upang putulin ang mga hook ng bot ng hacker. - I-regenerate ang Trade Offer URL: Sa mga setting ng privacy ng iyong inventory trade offer, bumuo ng bagong Trade Offer URL upang putulin ang anumang automated scraper tracking.
- Paganahin ang Proteksyon ng Steam Family View (Activate Steam Family View Protection): Mag-configure ng 4-digit Family View PIN na sumasaklaw sa access sa inventory at trading. Kahit na makakuha muli ang kalaban ng web session cookie, hindi nila matitingnan o maipagpapalit ang mga item nang hindi nilulutas ang hamon ng PIN.
- Magsagawa ng Buong Sanitization ng Host Endpoint (Conduct Full Host Endpoint Sanitization): Magpatakbo ng offline malware scan gamit ang Windows Defender o Malwarebytes upang alisin ang mga infostealer payload bago ilunsad ang Steam sa iyong pangunahing gaming desktop.
Mga Madalas Itanong (FAQ)
Maaari ba akong gumamit ng software sa desktop (tulad ng SDA - Steam Desktop Authenticator) sa halip na telepono? ▼
Habang ang mga third-party open-source utility tulad ng SDA ay maaaring kumuha ng iyong Steam secret at mag-automate ng mga kumpirmasyon sa palitan, ang pagpapatakbo ng isang authenticator sa parehong PC na ginagamit para sa gaming at web browsing ay sumisira sa pangunahing "Out-of-Band" security boundary. Kung ang iyong workstation ay mahawahan ng info-stealer trojan, kukunin ng mga attacker ang iyong SDA database file at uubusin ang iyong inventory sa loob lamang ng ilang segundo. Ang mga nakalaang pisikal na mobile phone ang nananatiling pamantayang ginto.
Bakit pinaghihigpitan ang aking mga trade pagkatapos palitan ang aking password sa Steam? ▼
Upang maiwasan ang isang attacker na nag-crack o humula ng iyong password na agad na i-offload ang iyong inventory, nagpapatupad ang Valve ng awtomatikong 2-araw hanggang 7-araw na trade cooldown kasunod ng mga pag-reset ng password. Awtomatikong inaalis ang paghihigpit kapag nag-expire na ang cooldown window.
Pinipigilan ba ng Steam Family View ang pag-hijack ng account? ▼
Nagbibigay ang Family View ng malaking defense-in-depth! Sa pamamagitan ng pag-aatas ng pangalawang 4-digit PIN upang ma-access ang inventory, mga alok ng trade, at mga feature ng store, ang isang attacker na nakakuha ng access sa iyong aktibong web session ay hindi makakapagpasimula ng mga palitan o makakasiyasat sa iyong inventory nang hindi muna nilulutas ang hamon ng PIN.
Bumuo ng Mga Pangkalahatang 2FA Token nang Ligtas
Nais bang bumuo ng standard na RFC 6238 TOTP tokens para sa iyong mga account sa gaming, cloud, at social media? Gamitin ang 100% offline, client-side calculator ng 2FA-Tool.