A Valve Steam platformja nem csupán a világ legjelentősebb digitális játékterjesztési rendszere PC-n; egy több milliárd dolláros virtuális gazdaságot is működtet, amelyet a kozmetikai játéktárgyak kereskedelme hajt olyan játékokban, mint a Counter-Strike 2 (CS2), Dota 2 és Team Fortress 2. Mivel a virtuális leltárak likvid, cserélhető vagyontárgyakat képviselnek, a Steam-felhasználói fiókok az automatizált jelszópróbálgatások (credential stuffing) és adathalász hálózatok állandó célpontjai. A Steam Guard Mobile Authenticator egyszerre az Ön elsődleges biometrikus trezora és a késleltetésmentes peer-to-peer kereskedés elengedhetetlen feltétele.
Egyedi Base32 leképezés magánhangzók és kétértelmű karakterek nélkül, időszinkronizálva a Valve szervereivel.
Legalább 7 egymást követő napon (168 órán) át aktívnak kell lennie az azonnali kereskedés feloldásához és a 15 napos escrow elkerüléséhez.
Csak egyszer jelenik meg a regisztráció során. Hardver elvesztése esetén garantálja a hitelesítő azonnali leválasztását.
A Steam Guard architektúrája: Miért 5 alfanumerikus karakter?
A Google Authenticator vagy a banki tokenek 6 számjegyű decimális kódjaihoz szokott felhasználók számára gyakran meglepő a Steam formátuma. A Steam Guard olyan kódokat jelenít meg, mint a K8MN2 vagy az R7WXY. Miért tért el a Valve a szabványos RFC 6238 decimális kimenettől?
1. Szabadalmaztatott 26 karakteres leképezés és a karakterek egyértelműsítése
A standard RFC 6238 egy 31 bites egész számot képez a HMAC-SHA1 hash lenyomatból, majd kiszámítja a mod 10^6 műveletet a 6 számjegyű tokenhez. A Valve mérnökei egy alternatív leképezési struktúrát hoztak létre egy 26 karakteres ábécé használatával:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Ez a leképezés kiemelkedő emberi tényezős biztonsági tervezést tükröz. A vizuálisan kétértelmű karakterek eltávolításával (például a 0 számjegy vs. O betű, illetve az 1 számjegy vs. I és L betűk) a félregépelési és leolvasási hibák drasztikusan csökkennek. Döntő szempont, hogy az összes angol magánhangzó (A, E, I, O, U) kizárásával az 5 karakteres szöveg véletlenül sem képezhet sértő vagy trágár angol szavakat a képernyőn.
2. Valós idejű időszinkronizálás az ITwoFactorService segítségével
A hagyományos TOTP hitelesítők kizárólag a kliens okostelefon operációs rendszerének órájára támaszkodnak. Egy 30 másodperces eltérés már érvénytelen tokeneket eredményez. A Valve ezt úgy oldja meg, hogy a Steam Mobile alkalmazás lekérdezi a Valve szerverfürtjének időbélyeg-végpontját: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
A mobilkliens kiszámítja a pontos eltérést a Valve atomórájához képest. Még ha a felhasználó manuálisan két órával vissza is állítja az okostelefon óráját, a Steam Guard akkor is matematikailag érvényes tokeneket generál.
| Hitelesítési mechanizmus | Kódformátum | Ablak | Harmadik féltől származó TOTP kompatibilitás | Kereskedelmi escrow mentesség |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 Alphanumeric (M78KQ) | 30 másodperc | Szabadalmaztatott (a shared_secret kinyerését igényli) | ✅ Azonnali (7 nap után) |
| Steam Guard e-mailes ellenőrzés | 5 Alphanumeric (Via Email) | Dinamikus / Egyszeri | Inkompatibilis | ❌ Kötelező 15 napos visszatartás |
| Standard RFC 6238 (pl. 2FA-Tool) | 6 Decimal Digits (123456) | 30 másodperc | Univerzális iparági szabvány | Nem alkalmazható a Steam kereskedésre |
A 15 napos kereskedelmi visszatartás (Trade Escrow szabályzat) elkerülése
2015 vége előtt naponta több ezer Steam-felhasználó leltárát fosztották ki adathalászattal és kártevőkkel. Mivel a cserék azonnaliak és visszavonhatatlanok voltak, az ellopott tárgyak órákon belül tisztára mosó hálózatokon vándoroltak át. A fióklopások pénzügyi motivációjának felszámolása érdekében a Valve bevezette a kereskedelmi visszatartást (Trade Holds / Escrow) és a piaci visszatartást (Market Holds).
Az Escrow kiváltó mechanizmusai és határértékei:
- Kereskedés mobil hitelesítő nélkül: Ha a cserét kezdeményező felhasználó nem rendelkezik aktív mobil hitelesítővel a fiókján, az elcserélt tárgyakat a Steam akár 15 napig letétben (escrow) tartja.
- Régóta meglévő barátok kivétele: Ha a kereskedelmi partner több mint 1 folyamatos éve szerepel a Steam barátlistáján, a visszatartás 1 napra csökken.
- Közösségi piaci ajánlatok (Community Market): A mobil megerősítés nélkül létrehozott ajánlatok akár 15 napig letétben maradnak, mielőtt láthatóvá válnának a Steam Közösségi Piacon.
1. Mindkét kereskedő fél fiókjában legalább 7 teljes egymást követő napja (168 órája) aktívnak kell lennie a Steam Guard Mobile Authenticatornak.
2. A küldőnek jóvá kell hagynia a kimenő cserét a mobil Steam alkalmazás "Megerősítések" (Confirmations) menüpontjában.
3. Egyik fél sem végezhetett független jelszó-visszaállítást vagy hitelesítő-eltávolítást az elmúlt 7 napban.
Mobil megerősítések és védelem az API-kulcsos csalásokkal szemben
Még bekapcsolt Steam Guard mellett is gyakran válnak a játékosok a hírhedt Steam API-kulcsos csalás (Trade Interception Phishing / csereeltérítés) áldozatává. Ennek a támadási vektornak a megértése elengedhetetlen a skinkereskedők számára.
A támadás végrehajtásának kronológiája:
- Bejelentkezési adatok megszerzése: Az áldozat felkeres egy hamis skin-kereskedő, bajnoksági vagy ládanyitó webhelyet, és egy megtévesztő "Sign in through Steam" ablakon keresztül hitelesíti magát.
- Láthatatlan Web API-kulcs generálás: A megszerzett munkamenet-sütik (session cookies) segítségével a támadó botja észrevétlenül felkeresi a Steam fejlesztői felületét (
steamcommunity.com/dev/apikey), és regisztrál egy API-kulcsot a támadó domainje alatt. - Automatikus kereskedelmi ajánlat eltérítés: Napokkal később az áldozat elküld egy 1000 dollár értékű CS2 kést egy legitim kereskedő botnak vagy egy barátjának.
- Azonnali törlés és klónozott megszemélyesítés: A támadó szervere, amely 500 ezredmásodpercenként kérdezi le a Steam Web API-t, érzékeli a függőben lévő ajánlatot. Automatikusan törli a valódi cserét, lemásolja a címzett profilképét és nevét, létrehoz egy azonos botprofilt a Steamen, majd egy látszólag ugyanolyan csereajánlatot küld az áldozatnak.
- Figyelmetlen mobil megerősítés: Az áldozat megnyitja a Steam mobilalkalmazást. Látva az ismerős avatárt és a kést, anélkül koppint a "Confirm Trade" gombra, hogy ellenőrizné a címzett fiókjának regisztrációs évét vagy Steam-szintjét. A tárgy közvetlenül a támadó leltárába kerül.
- Ellenőrizze az API-kulcs oldalát: Látogasson el a
https://steamcommunity.com/dev/apikeycímre. Ha nem fejlesztő, mégis aktív kulcsot lát, azonnal vonja vissza (Revoke), és változtassa meg a Steam-jelszavát. - Ellenőrizze a fiók korát mobilon: A csere megerősítésekor a Steam alkalmazásban gondosan tekintse át a partner adatait. A Steam kiírja a pontos regisztrációs évet (pl. "Member since 2017"). Ha a régi partnernek szánt csereadatoknál "Member since today" szerepel, azonnal szakítsa meg.
- Állítsa alaphelyzetbe a csere URL-t (Trade URL): A raktár beállításaiban hozzon létre egy új csereajánlat-URL-t, hogy érvénytelenítse a korábban kiszivárgott címeket.
Kriptográfiai anatómia: shared_secret vs identity_secret kettős architektúra
A Valve mobilalkalmazás-architektúrájának motorházteteje alatt a Steam Guard két különálló kriptográfiai kulcsra támaszkodik, amelyek a regisztráció során jönnek létre, és az okostelefon biztonságos, elkülönített helyi tárhelyében (sandbox) vannak elzárva:
- shared_secret: Egy Base64 kódolású titkos kulcs, amelyet kizárólag az eszköz képernyőjén megjelenő 5 karakteres TOTP kódok előállítására használnak az asztali kliensbe és a böngészőbe történő bejelentkezéshez.
- identity_secret: Egy független kriptográfiai kulcs, amelyet a Valve mobil megerősítési API-végpontjaira (
/mobileconf/getlistés/mobileconf/ajaxop) küldött HMAC-SHA1 tokenek digitális aláírására használnak. Ez a kulcs engedélyezi a visszavonhatatlan műveleteket: a kimenő cserék jóváhagyását és az értékes vagyontárgyak piacra bocsátását a Steam Közösségi Piacon.
Sok nagy forgalmat lebonyolító kereskedő fordul harmadik féltől származó, nyílt forráskódú asztali segédprogramokhoz, például a Steam Desktop Authenticatorhoz (SDA) a csere-jóváhagyások automatizálására. Az SDA mind a shared_secret, mind az identity_secret kulcsot kinyeri, és egyszerű szöveges vagy gyengén titkosított JSON fájlokként (.maFile) menti a felhasználó helyi Windows fájlrendszerére.
Ez a munkamódszer tönkreteszi a kétlépcsős azonosítás alapvető biztonsági alaptételét: a sávon kívüli (Out-of-Band - OOB) hardveres elkülönítést. Amikor egy adatlopó trójai (például RedLine, Lumma vagy Vidar) megfertőz egy gamer számítógépet, kifejezetten .maFile fájlok után kutat a meghajtókon. Miután ezeket ellopták, a támadónak már nincs szüksége fizikai hozzáférésre a telefonhoz; az automatizált botrendszer betölti a titkokat, érvényes bejelentkezési tokeneket generál, törli a valódi cseréket, és új mobil megerősítéseket ír alá, hogy perceken belül teljesen kiürítse a raktárat.
Vészhelyzeti visszavonás: Az R-kód legfőbb ereje
Amikor regisztrál a Steam Guard Mobile Authenticatorba, az SMS-kód ellenőrzése után az alkalmazás egy olyan kódot jelenít meg, amely az R betűvel kezdődik, és 5 számjegy követi (pl. R12345). Ez az Ön visszavonási kódja (Revocation Code / R-kód).
Az R-kód szerepe és hatásköre:
A Google vagy a Discord biztonsági mentési kódjaival ellentétben (amelyek egyszeri bejelentkezést tesznek lehetővé) a Steam R-kódjával nem lehet bejelentkezni. Egyetlen tervezett funkciója az, hogy egyoldalúan visszavonja és leválassza a mobil hitelesítőt a fiókról.
Ha telefonját ellopják, vízbe esik, vagy külföldön elveszíti, ahol a SIM-kártya nem képes roamingolni, bármely asztali böngészőben rákattinthat a "Nincs hozzáférésem a Steam Guard mobil hitelesítő kódjaimhoz" gombra, megadhatja az R-kódot, és a hitelesítő azonnal törlődik, SMS kérése vagy mobilos jóváhagyás nélkül.
Az R-kód képernyőképének mentése a telefon képgalériájába teljesen meghiúsítja annak célját: ha a telefon elveszik vagy tönkremegy, az R-kód is vele vész. Írja le fizikai papírra, vagy mentse el egy titkosított jelszókezelőbe (1Password, Bitwarden, KeePassXC).
Telefonváltás: Lépésről lépésre történő költözés kereskedelmi visszatartás nélkül
Amikor a játékosok új iPhone vagy Android készülékre váltanak, sokan elkövetik azt a hibát, hogy először eltávolítják a hitelesítőt a régi telefonról, ami azonnal kiváltja a büntető 15 napos kereskedelmi letétet. Ehelyett kövesse a Valve hivatalos, zökkenőmentes költöztetési folyamatát:
NE távolítsa el a hitelesítőt a régi telefonról
Hagyja a régi eszközt érintetlenül. A manuális eltávolítás visszasorolja a fiókvédelmet e-mailes Guardra, ami azonnal kötelező kereskedelmi zárolást von maga után.
Telepítse a Steam alkalmazást az új telefonra
Töltse le a hivatalos Steam appot az Apple App Store vagy a Google Play Áruházból. Indítsa el az alkalmazást, és adja meg felhasználónevét és jelszavát.
Válassza a "Hitelesítő áthelyezése erre az eszközre" lehetőséget
Amikor a rendszer a jelenlegi Steam Guard kódot kéri, koppintson a "Please help, I no longer have access to my Steam Guard Mobile Authenticator codes" (Kérem, segítsenek, már nincs hozzáférésem a kódjaimhoz) gombra. Ezután válassza a "Move authenticator to this device" (Hitelesítő áthelyezése erre az eszközre) opciót.
Erősítse meg SMS-ellenőrző kóddal
A Steam egy 6 számjegyű SMS-ellenőrző kódot küld a regisztrált telefonszámára. Írja be ezt a kódot az új telefonon. A Valve átviszi a kriptográfiai kulcsanyagot az új eszközre, és visszavonja a régi telefon jogosultságát.
✅ Ez a költöztetési folyamat a minimálisra csökkenti a kereskedési várakozási időt (jellemzően egy rövid, 2 napos visszatartás a teljes 15 napos letéti büntetés helyett).
Háromszintű katasztrófa-helyreállítási forgatókönyv
1. szint: A telefon elveszett, de a telefonszám megmaradt
Kérjen csere SIM-kártyát mobilszolgáltatójától. Asztali böngészőben jelentkezzen be a Steambe, válassza a "Nincs hozzáférésem a hitelesítőmhöz" lehetőséget, majd válassza az SMS-helyreállítást. Adja meg a kódot a régi eszköz eltávolításához vagy egy új beállításához.
2. szint: A telefon és a szám is elveszett, de az R-kód elérhető
Nyissa meg a help.steampowered.com oldalt -> "Segítség, nem tudok bejelentkezni" -> "Töröltem vagy elvesztettem a Steam Guard Mobile Authenticatoromat" -> "Már nincs hozzáférésem ehhez a telefonszámhoz". Írja be a mentett R##### kódját. A Steam azonnal megszünteti a hitelesítő hozzárendelését.
3. szint: Teljes veszteség (nincs telefon, nincs szám, nincs R-kód) — Tulajdonjog igazolása
Nyújtson be manuális támogatási jegyet a Valve-hoz. Jogilag megalapozott fióktulajdonlási igazolást kell benyújtania:
- Dobozos játékok CD-kulcsai: Tiszta fényképek fizikai játékdobozokról, amelyeken látható a CD-kulcs matrica a kézzel írt támogatási referenciaszám mellett.
- Bankkártyás ellenőrzés: A kártyán szereplő név, számlázási cím, kártyakibocsátó és a Steam-vásárlásokhoz használt utolsó 4 számjegy.
- Harmadik féltől származó fizetési bizonylatok: PayPal számlaazonosítók (Invoice ID) vagy Steam-vásárlásokhoz kapcsolt tranzakciós bizonylatszámok.
- Fizikai Steam Wallet kártyák: Fényképek a lekapart vagy még le nem kapart fizikai ajándékkártyákról.
🛡️ Vészhelyzeti lépések kompromittálódás után: A 6 lépéses incidenskezelési protokoll
Ha gyanús fióktevékenységet, szokatlan cseréket észlel, vagy attól tart, hogy bejelentkezési adatai kiszivárogtak, azonnal hajtsa végre ezt az incidens-elszigetelési ellenőrzőlistát:
- Kényszerített jelszóváltoztatás: Azonnal frissítse Steam mesterjelszavát egy biztonságos, tiszta másodlagos eszközről vagy okostelefonról. A mesterjelszó megváltoztatása azonnal megszakítja az aktív böngészős munkameneteket.
- Minden aktív eszköz engedélyének visszavonása: Lépjen a Steam Fiókadatok -> Steam Guard kezelése menüpontra, és kattintson a "Minden más eszköz engedélyének visszavonása" (Deauthorize all other devices) lehetőségre. Ez törli az aktív munkamenet-sütiket az összes asztali telepítésben és mobilappban.
- Kompromittálódott Web API-kulcs visszavonása: Keresse fel a
steamcommunity.com/dev/apikeyoldalt, és kattintson a "Steam Web API-kulcs visszavonása" gombra a hackerbotok kapcsolatainak megszüntetéséhez. - Csereajánlat URL újragenerálása: A raktár csereajánlati adatvédelmi beállításaiban hozzon létre egy új Trade Offer URL-t az automatizált adatgyűjtők követésének megszakítására.
- Steam Családi Nézet (Family View) aktiválása: Állítson be egy 4 számjegyű Családi Nézet PIN-kódot a raktár és a kereskedés eléréséhez. Még ha a támadó újból megszerez egy munkamenet-sütit, a PIN-kód megoldása nélkül nem tudja megtekinteni a leltárt vagy cseréket indítani.
- A végponti gép teljes fertőtlenítése: Futtasson le egy offline kártevőirtó vizsgálatot a Windows Defender vagy a Malwarebytes programmal az adatlopó trójaiak eltávolítására, mielőtt újra elindítaná a Steamet a fő gamer számítógépén.
Gyakran Ismételt Kérdések (GYIK)
Használhatok asztali szoftvert (például SDA - Steam Desktop Authenticator) telefon helyett? ▼
Bár a nyílt forráskódú külső segédprogramok, mint az SDA, képesek kinyerni a Steam-titkot és automatizálni a csere-jóváhagyásokat, ha a hitelesítőt ugyanazon a számítógépen futtatja, amelyet játékra és böngészésre használ, az megszünteti az alapvető „sávon kívüli” (Out-of-Band) biztonsági határvonalat. Ha munkaállomása adatlopó trójaival fertőződik meg, a támadók megszerzik az SDA adatbázisfájlját, és másodpercek alatt kiürítik a leltárát. A dedikált fizikai mobiltelefonok jelentik a biztonság etalonját.
Miért korlátozott a kereskedésem a Steam-jelszavam megváltoztatása után? ▼
Annak megakadályozására, hogy a jelszót feltörő vagy kitaláló támadó azonnal kiürítse a leltárat, a Valve automatikus 2-7 napos kereskedési várakozási időt léptet életbe jelszó-visszaállítás után. A korlátozás a várakozási időszak lejárta után automatikusan feloldódik.
Megakadályozza-e a Steam Családi Nézet a fiókeltérítést? ▼
A Családi Nézet jelentős mélységi védelmet (Defense-in-Depth) biztosít! Mivel egy másodlagos 4 számjegyű PIN-kódot ír elő a raktár, a csereajánlatok és az áruház funkcióinak eléréséhez, a támadó, aki hozzáfér az Ön aktív webes munkamenetéhez, nem tud cserét kezdeményezni vagy a leltárban böngészni a PIN-kód megadása nélkül.
Generáljon univerzális 2FA tokeneket biztonságosan
Szabványos RFC 6238 TOTP tokeneket szeretne generálni játék-, felhő- és közösségi fiókjaihoz? Használja a 2FA-Tool 100%-ban offline, kliensoldali kalkulátorát.