Valveova platforma Steam nije samo vodeća svjetska platforma za digitalnu distribuciju PC igara; ona nosi virtualno gospodarstvo vrijedno više milijardi dolara pokretano razmjenjivim kozmetičkim predmetima u igrama Counter-Strike 2 (CS2), Dota 2 i Team Fortress 2. Budući da virtualni inventari predstavljaju likvidnu, zamjenjivu imovinu, korisnički računi na Steamu sustavna su meta automatiziranih napada isprobavanjem vjerodajnica i sindikata za krađu identiteta (phishing). Steam Guard mobilni autentifikator vaš je primarni biometrijski trezor i neizostavan preduvjet za trenutačno trgovanje među korisnicima bez čekanja.
Prilagođeno Base32 mapiranje bez samoglasnika i dvosmislenih znakova, vremenski sinkronizirano s Valveovim poslužiteljima.
Mora biti aktivan 7 uzastopnih dana (168 sati) kako bi se otključalo trenutačno trgovanje i izbjeglo 15-dnevno escrow zadržavanje.
Prikazuje se samo jednom prilikom registracije. Jamči trenutačno uklanjanje autentifikatora u slučaju gubitka hardvera.
Arhitektura Steam Guarda: Zašto 5 alfanumeričkih znakova?
Korisnicima naviknutima na 6-znamenkaste decimalne tokene iz Google Authenticatora ili bankarskih tokena Steamov format koda često izgleda neobično. Steam Guard prikazuje kodove poput K8MN2 ili R7WXY. Zašto je Valve odstupio od standardnog RFC 6238 decimalnog ispisa?
1. Vlasničko mapiranje od 26 znakova i uklanjanje dvosmislenih glifa
Standardni RFC 6238 generira 6-znamenkasti token izračunom 31-bitnog cijelog broja iz HMAC-SHA1 sažetka te primjenom operacije mod 10^6. Valveovi inženjeri implementirali su alternativnu strukturu mapiranja koja koristi abecedu od 26 znakova:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Ovo mapiranje pokazuje izvanredan inženjering sigurnosti usmjeren na ljudski faktor. Uklanjanjem vizualno dvosmislenih znakova (poput znamenke 0 u odnosu na slovo O, te znamenke 1 u odnosu na slova I i L), greške pri prepisivanju drastično su smanjene. Što je još važnije, isključivanjem svih samoglasnika engleske abecede (A, E, I, O, U), 5-znakovni niz ne može slučajno stvoriti uvredljive riječi na engleskom jeziku na zaslonu uređaja.
2. Vremenska sinkronizacija u stvarnom vremenu putem ITwoFactorService
Tradicionalni TOTP autentifikatori oslanjaju se isključivo na sat operativnog sustava klijentskog pametnog telefona. Odstupanje od samo 30 sekundi dovodi do nevažećih tokena. Valve to rješava tako što mobilna aplikacija Steam šalje upit krajnjoj točki za vremenske oznake Valveovog klastera: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilni klijent izračunava točan vremenski pomak u odnosu na Valveov atomski klaster. Čak i ako korisnik ručno pomakne sat na svom pametnom telefonu za dva sata unatrag, Steam Guard generira matematički valjane tokene.
| Mehanizam autentifikacije | Format koda | Vremenski prozor | Kompatibilnost s TOTP aplikacijama trećih strana | Izuzeće od zadržavanja trgovanja (Escrow) |
|---|---|---|---|---|
| Steam Guard mobilni autentifikator | 5 alfanumeričkih znakova (M78KQ) | 30 sekundi | Vlasnički (Zahtijeva izdvajanje shared_secret ključa) | ✅ Trenutačno (Nakon 7 dana) |
| Steam Guard provjera putem e-pošte | 5 alfanumeričkih znakova (Putem e-pošte) | Dinamički / Jednokratno | Nekompatibilno | ❌ Obvezno zadržavanje od 15 dana |
| Standardni RFC 6238 (npr. 2FA-Tool) | 6 decimalnih znamenki (123456) | 30 sekundi | Univerzalni industrijski standard | Nije primjenjivo na trgovanje na Steamu |
Zaobilaženje 15-dnevnog zadržavanja trgovanja (Pravila o trgovinskom escrowu)
Prije kraja 2015. godine tisućama korisnika Steama svakodnevno su pražnjeni inventari putem phishinga i zlonamjernog softvera. Budući da su razmjene bile trenutačne i nepovratne, ukradeni predmeti mijenjali su vlasnike kroz krugove pranja predmeta unutar nekoliko sati. Kako bi uklonio komercijalni poticaj za krađu računa, Valve je uveo **zadržavanje trgovanja (Trade Holds / Escrow)** i **zadržavanje na tržištu (Market Holds)**.
Mehanizmi i pragovi aktivacije zadržavanja (Escrow):
- Trgovanje bez mobilnog autentifikatora: Ako korisnik koji šalje predmete nema aktivan mobilni autentifikator na svom računu, predmeti poslani u razmjeni **zadržavaju se u Steam escrowu do 15 dana**.
- Iznimka za dugogodišnje prijatelje: Ako je primatelj razmjene na vašem popisu prijatelja na Steamu dulje od 1 neprekidne godine, zadržavanje se smanjuje na **1 dan**.
- Objave na Steam Community Marketu: Predmeti ponuđeni na prodaju bez mobilne potvrde zadržavaju se u escrowu do 15 dana prije nego što postanu vidljivi na tržištu zajednice.
1. Obje strane u razmjeni moraju imati uključen Steam Guard mobilni autentifikator **najmanje 7 punih uzastopnih dana (168 sati)**.
2. Pošiljatelj mora odobriti odlaznu razmjenu u odjeljku „Potvrde” (Confirmations) u svojoj mobilnoj aplikaciji Steam.
3. Niti jedna strana ne smije imati nepovezano poništavanje lozinke ili uklanjanje autentifikatora unutar prethodnih 7 dana.
Mobilne potvrde i obrana od prijevara s API ključem
Čak i uz uključen Steam Guard, igrači često postaju žrtve zloglasne **prijevare sa Steam API ključem (presretanje razmjena phishingom)**. Razumijevanje ovog vektora napada ključno je za sve koji trguju skinovima i vrijednim predmetima.
Kronologija izvođenja napada:
- Prikupljanje vjerodajnica: Žrtva posjećuje lažnu stranicu za razmjenu skinova, turnirski portal ili stranicu za otvaranje kutija i autentificira se putem lažnog skočnog prozora „Prijava putem Steama”.
- Tiho kreiranje Web API ključa: Koristeći prikupljene sesijske kolačiće, napadačev bot neprimjetno odlazi na Steamovu razvojnu konzolu (
steamcommunity.com/dev/apikey) i registrira API ključ pod domenom napadača. - Automatsko presretanje ponude za razmjenu: Nekoliko dana kasnije žrtva šalje ponudu za razmjenu sa skupim CS2 nožem od 1.000 dolara legitimnom trgovačkom botu ili prijatelju.
- Trenutačno otkazivanje i lažiranje profila: Napadačev poslužitelj, koji provjerava Steam Web API svakih 500 ms, detektira ponudu na čekanju. Automatski otkazuje izvornu razmjenu, preuzima avatar i ime profila primatelja, stvara identičan profil bota na Steamu i šalje identičnu lažnu ponudu žrtvi.
- Nepromišljena potvrda na mobitelu: Žrtva otvara svoju mobilnu aplikaciju Steam. Vidjevši poznati avatar i nož, dodiruje „Potvrdi razmjenu” (Confirm Trade) bez provjere datuma otvaranja računa primatelja ili Steam razine. Predmet prelazi izravno u napadačev inventar.
- Provjerite stranicu s API ključem: Otvorite
https://steamcommunity.com/dev/apikey. Ako niste programer, a vidite aktivan ključ, **odmah ga opozovite** i promijenite svoju lozinku za Steam. - Provjerite staž računa na mobitelu: Prilikom potvrđivanja razmjene u aplikaciji Steam pažljivo pregledajte podatke o primatelju. Steam prikazuje točnu godinu registracije (npr. „Član od 2017.”). Ako razmjena namijenjena dugogodišnjem prijatelju prikazuje „Član od danas”, odmah je otkažite.
- Poništite URL za razmjenu: U postavkama inventara generirajte novi Trade Offer URL kako biste poništili prethodno kompromitirane poveznice.
Kriptografska anatomija: Dvojna arhitektura shared_secret i identity_secret
Ispod haube Valveove mobilne aplikacije, Steam Guard se oslanja na dva zasebna kriptografska ključa generirana tijekom registracije i pohranjena unutar izoliranog lokalnog spremišta pametnog telefona:
- shared_secret: Tajni ključ kodiran u Base64 formatu koji se koristi isključivo za izračun 5-znakovnih TOTP kodova prikazanih na zaslonu uređaja za interaktivnu prijavu u računalni klijent i web preglednik.
- identity_secret: Neovisni kriptografski ključ koji se koristi za digitalno potpisivanje HMAC-SHA1 tokena poslanih na Valveove API krajnje točke za mobilne potvrde (
/mobileconf/getlisti/mobileconf/ajaxop). Ovaj ključ autorizira nepovratne operacije: odobravanje odlaznih razmjena i objavljivanje vrijednih predmeta na Steam Community Marketu.
Mnogi trgovci virtualnim predmetima s velikim volumenom okreću se aplikacijama otvorenog koda za stolna računala kao što je Steam Desktop Authenticator (SDA) kako bi automatizirali potvrđivanje razmjena. SDA izdvaja i shared_secret i identity_secret, spremajući ih kao običan tekst ili slabo šifrirane JSON datoteke (.maFile) na lokalni Windows disk korisnika.
Ovaj radni proces uništava temeljni sigurnosni aksiom dvofaktorske autentifikacije: izvanpojasnu (Out-of-Band) hardversku izolaciju. Kada zlonamjerni trojanac za krađu podataka (poput RedLinea, Lumme ili Vidara) zarazi računalo za igranje, on ciljano pretražuje diskove u potrazi za .maFile datotekama. Nakon krađe, napadaču uopće nije potreban fizički pristup vašem mobitelu; njihova automatizirana botovska mreža učitava vaše tajne, generira valjane kodove za prijavu, otkazuje vaše stvarne razmjene i potpisuje nove mobilne potvrde kako bi ispraznila cjelokupni inventar unutar nekoliko minuta.
Opoziv u hitnim slučajevima: Vrhovna moć R-koda
Kada se registrirate za Steam Guard mobilni autentifikator, nakon provjere SMS koda na mobitelu, aplikacija prikazuje kod koji započinje slovom R nakon čega slijedi 5 znamenki (npr. R12345). To je vaš **kod za opoziv (Revocation Code - R-Code)**.
Moć i doseg R-koda:
Za razliku od rezervnih kodova na Googleu ili Discordu (koji služe za jednokratne sesije prijave), Steamov R-kod vas ne prijavljuje na račun. Njegova jedina arhitektonska funkcija je **jednostrani opoziv i odvajanje mobilnog autentifikatora od vašeg računa**.
Ako vam je telefon ukraden, pao u vodu ili izgubljen u inozemstvu gdje vaša SIM kartica nema roaming, možete otvoriti bilo koji preglednik na računalu, kliknuti „Nemam pristup svom Steam Guard mobilnom autentifikatoru”, unijeti svoj R-kod i autentifikator se odmah uklanja bez SMS poruka ili mobilnih odobrenja.
Spremanje snimke zaslona s vašim R-kodom u galeriju slika mobitela poništava njegovu svrhu: kada se telefon izgubi ili pokvari, vaš R-kod nestaje zajedno s njim. Zapišite ga na fizički papir ili ga pohranite u šifrirani trezor lozinki (1Password, Bitwarden, KeePassXC).
Zamjena mobitela: Korak-po-korak migracija bez zadržavanja trgovanja
Kad god igrači nadograde svoj iPhone ili Android uređaj, mnogi naprave grešku uklanjajući autentifikator na starom telefonu prije vremena, što pokreće kazneno 15-dnevno escrow zadržavanje trgovanja. Umjesto toga slijedite službeni, nesmetani postupak migracije koji preporučuje Valve:
NEMOJTE uklanjati autentifikator na starom telefonu
Ostavite stari uređaj netaknutim. Ručno uklanjanje spušta zaštitu računa na provjeru putem e-pošte, što trenutačno primjenjuje obvezni embargo na trgovanje.
Instalirajte aplikaciju Steam na novi telefon
Preuzmite službenu aplikaciju Steam s Apple App Storea ili Google Play Storea. Pokrenite aplikaciju i unesite svoje korisničko ime i lozinku.
Odaberite „Premjesti autentifikator na ovaj uređaj”
Kada aplikacija zatraži trenutni Steam Guard kod, dodirnite **„Pomoć, više nemam pristup svojim Steam Guard mobilnim kodovima”**. Zatim odaberite **„Premjesti autentifikator na ovaj uređaj”**.
Potvrdite putem SMS kontrolnog koda
Steam šalje 6-znamenkasti SMS kontrolni kod na vaš registrirani telefonski broj. Unesite ovaj kod na novom telefonu. Valve prenosi kriptografski materijal ključeva na vaš novi uređaj i poništava autorizaciju starog telefona.
✅ Ovaj postupak migracije svodi vremenska ograničenja trgovanja na minimum (obično kratko zadržavanje od samo 2 dana umjesto pune kazne od 15 dana).
Protokol za oporavak od katastrofe u tri razine
Razina 1: Telefon je izgubljen, ali telefonski broj je zadržan
Zatražite zamjensku SIM karticu od svog mobilnog operatera. U pregledniku na računalu prijavite se na Steam, odaberite „Nemam pristup svom autentifikatoru” i odaberite oporavak putem SMS-a. Unesite kod kako biste uklonili stari uređaj ili postavili novi.
Razina 2: Izgubljen je i telefon i telefonski broj, ali R-kod je dostupan
Otvorite help.steampowered.com -> „Pomoć, ne mogu se prijaviti” -> „Izbrisao/la sam ili izgubio/la Steam Guard mobilni autentifikator” -> „Više nemam pristup ovom telefonskom broju”. Unesite svoj spremljeni kod R#####. Steam odmah prekida vezu s autentifikatorom.
Razina 3: Potpuni gubitak (Nema telefona, broja niti R-koda) — Dokaz o vlasništvu
Podnesite korisnički zahtjev za podršku Valveu. Morate pružiti pravno valjan **dokaz o vlasništvu računa**:
- CD-ključevi maloprodajnih igara: Jasne fotografije fizičkih kutija s igrama na kojima se vidi naljepnica s CD-ključem uz vaš rukom napisani broj korisničkog zahtjeva.
- Verifikacija kreditne kartice: Ime na kartici, adresa za naplatu, izdavatelj kartice i posljednje 4 znamenke korištene za kupnje na Steamu.
- Potvrde o plaćanju trećih strana: ID računa s PayPala ili brojevi potvrda transakcija s platformi poput Alipay / WeChat povezanih s kupnjama na Steamu.
- Fizičke kartice Steam novčanika (Steam Wallet): Fotografije neogrebanih ili iskorištenih fizičkih kartica Steam novčanika.
🛡️ Sanacija nakon kompromitacije: Protokol za odgovor na incident u 6 koraka
Ako primijetite sumnjive aktivnosti na računu, neuobičajene razmjene ili sumnjate da su vaše vjerodajnice kompromitirane, odmah provedite ovaj hitni kontrolni popis za izolaciju incidenta:
- Prisilna promjena lozinke: Odmah ažurirajte svoju glavnu lozinku za Steam sa sigurnog, čistog sekundarnog uređaja ili mobitela. Promjena glavne lozinke trenutačno prekida aktivne sesijske tokene u preglednicima.
- Deautorizirajte sve aktivne uređaje: Otvorite Detalje o računu na Steamu -> Upravljanje Steam Guardom -> kliknite **„Deautoriziraj sve ostale uređaje”**. Time se brišu aktivni sesijski kolačići na svim instalacijama na računalima i mobilnim aplikacijama.
- Opozovite kompromitirani Web API ključ: Posjetite
steamcommunity.com/dev/apikeyi kliknite „Opozovi moj Steam Web API ključ” kako biste prekinuli veze hakerskih botova. - Ponovno generirajte URL ponude za razmjenu: U postavkama privatnosti ponuda za razmjenu u vašem inventaru stvorite novu poveznicu (Trade Offer URL) kako biste prekinuli automatsko praćenje zlonamjernih alata.
- Aktivirajte zaštitu obiteljskog prikaza (Steam Family View): Konfigurirajte 4-znamenkasti PIN obiteljskog prikaza koji pokriva pristup inventaru i trgovanju. Čak i ako napadač ponovno dođe do sesijskog kolačića, ne može pregledavati niti razmjenjivati predmete bez unosa tog PIN-a.
- Provedite potpuno čišćenje računala: Pokrenite izvanmrežno skeniranje zlonamjernog softvera pomoću programa Windows Defender ili Malwarebytes kako biste očistili infostealere prije pokretanja Steama na svom glavnom računalu za igranje.
Često postavljana pitanja (FAQ)
Mogu li koristiti računalni program (poput SDA - Steam Desktop Authenticator) umjesto mobitela? ▼
Iako alati otvorenog koda trećih strana poput SDA mogu izvući vaš tajni ključ i automatizirati potvrde razmjene, **korištenje autentifikatora na istom računalu koje se koristi za igranje i pregledavanje interneta uništava temeljnu sigurnosnu granicu „izvanpojasne” (Out-of-Band) zaštite**. Ako vaše računalo zarazi trojanac za krađu podataka, napadači preuzimaju vašu datoteku baze podataka SDA i prazne vaš inventar u sekundi. Namjenski fizički pametni telefoni ostaju zlatni standard sigurnosti.
Zašto su moje razmjene ograničene nakon promjene lozinke za Steam? ▼
Kako bi se spriječilo da napadač koji provali ili pogodi vašu lozinku odmah rasproda ili prebaci vaš inventar, Valve primjenjuje automatsko **hlađenje trgovanja od 2 do 7 dana nakon promjene lozinke**. Ograničenje se automatski ukida čim istekne to vremensko razdoblje.
Sprječava li funkcija Steam Family View otmicu računa? ▼
Obiteljski prikaz (Family View) pruža izvanrednu višeslojnu obranu! Zahtijevanjem sekundarnog 4-znamenkastog PIN-a za pristup inventaru, ponudama za razmjenu i značajkama trgovine, napadač koji dobije pristup vašoj aktivnoj web sesiji ne može pokrenuti razmjene niti pregledavati vaš inventar dok najprije ne unese točan PIN.
Sigurno generirajte univerzalne 2FA tokene
Želite generirati standardne RFC 6238 TOTP tokene za svoje račune za igranje, usluge u oblaku i društvene mreže? Koristite kalkulator 2FA-Tool koji radi 100% izvan mreže na strani klijenta.