„Valve“ sukurta „Steam“ platforma yra ne tik didžiausia pasaulyje skaitmeninė kompiuterinių žaidimų platinimo platforma; ji palaiko kelių milijardų dolerių vertės virtualią ekonomiką, kurioje prekiaujama kosmetiniais daiktais iš Counter-Strike 2 (CS2), Dota 2 ir Team Fortress 2. Kadangi virtualūs inventoriai atstovauja likvidų turtą, „Steam“ naudotojų paskyros tampa nuolatiniu automatizuotų slaptažodžių parinkimo ir sukčiavimo (phishing) sindikatų taikiniu. Steam Guard mobilusis autentifikatorius yra ir jūsų pagrindinė biometrinė saugykla, ir būtina sąlyga akimirksniu vykdomai tarpusavio prekybai.
Individualus Base32 atvaizdavimas be balsių ir dviprasmiškų glifų, sinchronizuotas su „Valve“ serveriais.
Turi būti aktyvus 7 dienas iš eilės (168 val.), kad atrakintų momentinę prekybą ir išvengtų 15 dienų sulaikymo.
Rodomas tik vieną kartą nustatymo metu. Užtikrina momentinį autentifikatoriaus atjungimą praradus įrenginį.
Steam Guard architektūra: kodėl 5 raidinis-skaitmeninis simboliai?
Naudotojams, įpratusiems prie 6 dešimtainių skaitmenų iš „Google Authenticator“ ar banko generatorių, „Steam“ žetonų formatas dažnai atrodo neįprastas. Steam Guard rodo tokius kodus kaip K8MN2 arba R7WXY. Kodėl „Valve“ nukrypo nuo standartinio RFC 6238 dešimtainio formato?
1. Patentuotas 26 simbolių atvaizdavimas ir glifų atskyrimas
Standartinis RFC 6238 išveda 6 skaitmenų kodą apskaičiuodamas 31 bito sveikąjį skaičių iš HMAC-SHA1 maišos ir pritaikydamas mod 10^6. „Valve“ inžinieriai sukūrė alternatyvią atvaizdavimo struktūrą, naudojančią 26 simbolių abėcėlę:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Šis atvaizdavimas rodo apgalvotą žmogiškojo faktoriaus saugumo inžineriją. Pašalinus vizualiai panašius simbolius (pvz., skaitmenį 0 ir raidę O, arba skaitmenį 1 ir raides I bei L), perrašymo klaidų skaičius drastiškai sumažėja. Be to, atmetus visas anglų kalbos balses (A, E, I, O, U), 5 simbolių eilutė ekrane negali atsitiktinai suformuoti nepadorių žodžių.
2. Laiko sinchronizavimas realiuoju laiku per ITwoFactorService
Tradiciniai TOTP generatoriai remiasi tik išmaniojo telefono operacinės sistemos laikrodžiu. 30 sekundžių nuokrypis sukelia kodo negaliojimą. „Valve“ tai išsprendė nurodydama „Steam“ programėlei užklausti „Valve“ klasterio laiko žymos prieigos tašką: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilusis klientas apskaičiuoja tikslų poslinkį lyginant su „Valve“ atominiu klasteriu. Net jei naudotojas rankiniu būdu atsuktų savo telefono laikrodį dviem valandomis atgal, Steam Guard generuoja matematiškai teisingus kodus.
| Autentifikavimo mechanizmas | Kodo formatas | Galiojimo langas | Suderinamumas su trečiųjų šalių TOTP | Atleidimas nuo prekybos sulaikymo |
|---|---|---|---|---|
| Steam Guard mobilusis autentifikatorius | 5 raidinis-skaitmeninis (M78KQ) | 30 sekundžių | Patentuotas (reikalauja išgauti shared_secret) | ✅ Momentinis (po 7 dienų) |
| Steam Guard el. pašto patvirtinimas | 5 raidinis-skaitmeninis (per el. paštą) | Dinaminis / vienkartinis | Nesuderinamas | ❌ Privalomas 15 dienų sulaikymas |
| Standartinis RFC 6238 (pvz., 2FA-Tool) | 6 dešimtainiai skaitmenys (123456) | 30 sekundžių | Universalus pramonės standartas | Netaikoma „Steam“ prekybai |
15 dienų prekybos sulaikymo (Escrow) apėjimas
Iki 2015 m. pabaigos tūkstančiai „Steam“ naudotojų kasdien prarasdavo savo virtualius inventorius dėl sukčiavimo ir kenkėjiškų programų. Kadangi mainai būdavo momentiniai ir neatšaukiami, pavogti daiktai per kelias valandas pereidavo per pinigų plovimo grandines. Siekdama panaikinti komercinę paskyrų vagysčių naudą, „Valve“ įvedė Prekybos sulaikymus (Trade Holds / Escrow) ir Rinkos sulaikymus.
Sulaikymo suveikimo mechanika ir ribos:
- Prekyba be mobiliojo autentifikatoriaus: jei prekiaujantis naudotojas neturi aktyvaus mobiliojo autentifikatoriaus, perleidžiami daiktai sulaikomi „Steam“ saugykloje (escrow) iki 15 dienų.
- Ilgalaikių draugų išimtis: jei mainų gavėjas yra jūsų „Steam“ draugų sąraše ilgiau nei 1 metus be pertraukos, sulaikymo laikotarpis sutrumpinamas iki 1 dienos.
- Bendruomenės rinkos skelbimai: skelbimai, sukurti be mobiliojo patvirtinimo, sulaikomi iki 15 dienų prieš tampant matomais „Steam“ bendruomenės rinkoje.
1. Abi prekiaujančios šalys turi turėti įjungtą Steam Guard mobilųjį autentifikatorių mažiausiai 7 pilnas dienas iš eilės (168 valandas).
2. Siuntėjas privalo patvirtinti išeinantį sandorį mobiliojoje programėlėje esančiame skyriuje „Patvirtinimai“ (Confirmations).
3. Nė viena šalis per pastarąsias 7 dienas neturi būti atlikusi nepriklausomo slaptažodžio atstatymo ar autentifikatoriaus pašalinimo.
Mobilieji patvirtinimai ir API raktų sukčiavimo gynyba
Net ir įjungę Steam Guard, žaidėjai dažnai tampa liūdnai pagarsėjusio Steam API raktų sukčiavimo (prekybos perėmimo) aukomis. Šio atakos vektoriaus supratimas yra esminis kiekvienam daiktų prekiautojui.
Atakos vykdymo chronologija:
- Prisijungimo duomenų surinkimas: auka apsilanko suklastotoje skinų mainų, turnyrų ar dėžių atidarymo svetainėje ir prisijungia per fiktyvų „Prisijungti per Steam“ langą.
- Tylus Web API rakto sukūrimas: pasinaudodamas perimtais sesijos slapukais, užpuoliko botas tyliai atidaro „Steam“ kūrėjo pultą (
steamcommunity.com/dev/apikey) ir užregistruoja API raktą užpuoliko domenui. - Automatinis prekybos pasiūlymo perėmimas: po kelių dienų auka siunčia teisėtą mainų pasiūlymą (pvz., 1 000 USD vertės CS2 peilį) oficialiam mainų botui arba draugui.
- Momentinis atšaukimas ir klono apsimetinėjimas: užpuoliko serveris, kas 500 ms tikrinantis „Steam Web API“, aptinka laukiantį pasiūlymą. Jis automatiškai atšaukia tikrąjį sandorį, nukopijuoja gavėjo avatarą bei vardą, sukuria identišką boto profilį „Steam“ sistemoje ir išsiunčia aukai tokį patį pasiūlymą.
- Neatidus patvirtinimas telefone: auka atidaro savo „Steam“ programėlę. Pamačiusi pažįstamą avatarą ir peilį, auka paspaudžia „Patvirtinti sandorį“, nepatikrinusi gavėjo registracijos datos ar „Steam“ lygio. Daiktas nukeliauja tiesiai į užpuoliko inventorių.
- Patikrinkite savo API rakto puslapį: eikite į
https://steamcommunity.com/dev/apikey. Jei nesate programuotojas ir matote aktyvų raktą, nedelsdami jį atšaukite ir pasikeiskite „Steam“ slaptažodį. - Tikrinkite paskyros amžių mobiliojoje programėlėje: patvirtindami sandorį „Steam“ programėlėje, atidžiai peržiūrėkite gavėjo informaciją. „Steam“ rodo registracijos metus (pvz., „Narys nuo 2017 m.“). Jei sandoryje su senu draugu parašyta „Narys nuo šiandien“, nedelsdami atšaukite.
- Iš naujo sugeneruokite prekybos URL: inventoriaus nustatymuose sugeneruokite naują mainų pasiūlymo URL, kad anuliuotumėte anksčiau nutekintas nuorodas.
Kriptografinė anatomija: shared_secret ir identity_secret dviguba architektūra
„Valve“ mobiliosios programėlės architektūroje Steam Guard remiasi dviem atskirais kriptografiniais raktais, sugeneruojamais registracijos metu ir saugomais telefono smėliadėžės saugykloje:
- shared_secret: Base64 koduotės slaptasis raktas, skirtas išimtinai 5 simbolių TOTP kodams generuoti, rodomiems įrenginio ekrane prisijungiant kompiuterio programoje ir naršyklėje.
- identity_secret: nepriklausomas kriptografinis raktas, naudojamas skaitmeniniu būdu pasirašyti HMAC-SHA1 žetonus, siunčiamus į „Valve“ mobiliųjų patvirtinimų API prieigos taškus (
/mobileconf/getlistir/mobileconf/ajaxop). Šis raktas autorizuoja neatšaukiamas operacijas: patvirtina išeinančius sandorius ir daiktų pardavimą rinkoje.
Daugelis prekiautojų naudoja atvirojo kodo kompiuterines programas, tokias kaip „Steam Desktop Authenticator“ (SDA), siekdami automatizuoti patvirtinimus. SDA išgauna tiek shared_secret, tiek identity_secret ir išsaugo juos paprastu tekstu arba silpnai užšifruotais JSON failais (.maFile) „Windows“ diske.
Tai visiškai sulaužo pagrindinį dviejų veiksnių autentifikavimo saugumo principą: aparatinį izoliavimą kitoje ryšio grandyje (Out-of-Band). Kai kenkėjiška programa (pvz., „RedLine“, „Lumma“ ar „Vidar“) užkrečia kompiuterį, ji specialiai ieško diske .maFile failų. Pavogęs šiuos failus, užpuolikas gauna visus raktus, sugeneruoja kodus, atšaukia tikrus sandorius ir per kelias minutes ištuština visą jūsų inventorių neturėdamas prieigos prie jūsų telefono.
Avarinis atšaukimas: aukščiausioji R-kodo galia
Kai įjungiate Steam Guard mobilųjį autentifikatorių ir patvirtinate SMS kodą, programėlė parodo kodą, prasidedantį raide R ir 5 skaitmenimis (pvz., R12345). Tai yra jūsų Atšaukimo kodas (R-Code).
R-kodo paskirtis ir galia:
Skirtingai nuo „Google“ ar „Discord“ atsarginių kodų (kurie suteikia vienkartinę prisijungimo sesiją), „Steam“ R-kodas jūsų neprisijungia. Jo vienintelė architektūrinė funkcija yra vienašališkai atšaukti ir atjungti mobilųjį autentifikatorių nuo jūsų paskyros.
Jei telefonas pavagiamas, sugadinamas ar pametamas užsienyje be ryšio, galite atidaryti bet kurią kompiuterio naršyklę, pasirinkti „Neturiu prieigos prie savo Steam Guard mobiliojo autentifikatoriaus“, įvesti R-kodą ir autentifikatorius bus pašalintas akimirksniu be jokių SMS ar mobiliųjų patvirtinimų.
R-kodo ekrano kopijos laikymas telefono nuotraukų galerijoje panaikina jo prasmę: praradus telefoną, prarandamas ir R-kodas. Užsirašykite jį ant popieriaus arba išsaugokite šifruotoje slaptažodžių saugykloje („1Password“, „Bitwarden“, „KeePassXC“).
Telefono atnaujinimas: perkėlimas be prekybos sulaikymų žingsnis po žingsnio
Keisdami „iPhone“ ar „Android“ įrenginius, daugelis žaidėjų padaro klaidą pirmiausia ištrindami autentifikatorių senajame telefone, taip sukeldami varginantį 15 dienų prekybos sulaikymą. Vietoj to vadovaukitės oficialia sklandaus perkėlimo seka:
NEIŠTRINKITE autentifikatoriaus senajame telefone
Palikite senąjį įrenginį ramybėje. Rankinis pašalinimas sumažina apsaugą iki el. pašto Guard ir akimirksniu įjungia privalomą prekybos embargą.
Įdiekite „Steam“ programėlę naujajame telefone
Atsisiųskite oficialią „Steam“ programėlę iš „Apple App Store“ arba „Google Play Store“. Paleiskite ją ir įveskite savo naudotojo vardą bei slaptažodį.
Pasirinkite „Perkelti autentifikatorių į šį įrenginį“
Kai būsite paprašyti įvesti kodą, bakstelėkite „Prašau pagalbos, nebeturiu prieigos prie savo Steam Guard kodų“. Tada pasirinkite „Perkelti autentifikatorių į šį įrenginį“.
Patvirtinkite SMS patvirtinimo kodu
„Steam“ išsiunčia 6 skaitmenų SMS kodą į jūsų registruotą numerį. Įveskite šį kodą naujajame telefone. „Valve“ perkelia kriptografinius raktus į jūsų naująjį įrenginį ir atjungia senąjį telefoną.
✅ Šis perkėlimo būdas sumažina prekybos apribojimus iki minimumo (dažniausiai taikomas tik trumpas 2 dienų sulaikymas vietoje visų 15 dienų).
Trijų lygių avarinio atkūrimo planas
1 lygis: Telefonas prarastas, bet numeris išsaugotas
Gaukite pakaitinę SIM kortelę iš savo mobiliojo ryšio operatoriaus. Kompiuterio naršyklėje prisijunkite prie „Steam“, pasirinkite „Neturiu prieigos prie autentifikatoriaus“ ir pasirinkite atkūrimą per SMS. Įveskite gautą kodą, kad pašalintumėte senąjį įrenginį arba sukonfigūruotumėte naują.
2 lygis: Telefonas ir numeris prarasti, bet R-kodas išsaugotas
Apsilankykite help.steampowered.com -> „Pagalba, negaliu prisijungti“ -> „Ištryniau arba pamečiau Steam Guard mobilųjį autentifikatorių“ -> „Nebeturiu prieigos prie šio telefono numerio“. Įveskite išsaugotą R##### kodą. „Steam“ nedelsiant atjungs autentifikatorių.
3 lygis: Visiškas praradimas (nėra telefono, numerio ir R-kodo) – Nuosavybės įrodymas
Pateikite pagalbos užklausą „Valve“ palaikymo tarnybai. Privalote pateikti teisiškai patvirtinamus Paskyros nuosavybės įrodymus:
- Žaidimų CD raktai: aiškios fizinių žaidimų dėžučių nuotraukos, kuriose matomas CD rakto lipdukas šalia ranka užrašyto pagalbos užklausos numerio.
- Mokėjimo kortelės patvirtinimas: kortelės savininko vardas ir pavardė, sąskaitos adresas, bankas ir paskutiniai 4 skaitmenys, naudoti „Steam“ pirkiniams.
- Trečiųjų šalių mokėjimų kvitai: „PayPal“ sąskaitų ID ar banko pavedimų numeriai.
- Steam Wallet fizinės kortelės: nenutrintų ar panaudotų fizinių „Steam Wallet“ dovanų kortelių nuotraukos.
🛡️ Veiksmai po paskyros pažeidimo: 6 žingsnių incidentų valdymo protokolas
Jei pastebėjote įtartiną veiklą, neįprastus sandorius ar įtariate duomenų nutekėjimą, nedelsdami atlikite šiuos veiksmus:
- Pakeiskite slaptažodį: atnaujinkite „Steam“ pagrindinį slaptažodį iš saugaus antrinio įrenginio. Slaptažodžio pakeitimas akimirksniu nutraukia aktyvias naršyklės sesijas.
- Deautorizuokite visus įrenginius: eikite į Paskyros informacija -> Valdyti Steam Guard -> spustelėkite „Deautorizuoti visus kitus įrenginius“. Tai panaikina sesijos slapukus visuose kompiuteriuose ir telefonuose.
- Atšaukite pažeistą Web API raktą: apsilankykite
steamcommunity.com/dev/apikeyir spustelėkite „Atšaukti mano Steam Web API raktą“, kad atjungtumėte užpuolikų botus. - Iš naujo sugeneruokite prekybos URL: inventoriaus privatumo nustatymuose sugeneruokite naują mainų pasiūlymo URL.
- Aktyvuokite Steam Family View apsaugą: nustatykite 4 skaitmenų Family View PIN kodą inventoriaus ir prekybos funkcijoms. Net jei įsibrovėlis vėl gautų sesijos prieigą, jis negalės prekiauti be PIN kodo.
- Atlikite pilną kompiuterio patikrą: paleiskite autonominį antivirusinį nuskaitymą naudodami „Windows Defender“ arba „Malwarebytes“, kad pašalintumėte slaptažodžių vagis prieš vėl paleisdami „Steam“.
Dažniausiai užduodami klausimai (DUK)
Ar galiu naudoti kompiuterinę programą (pvz., SDA – Steam Desktop Authenticator) vietoj telefono? ▼
Nors SDA gali išgauti raktą ir automatizuoti sandorių patvirtinimus, autentifikatoriaus paleidimas tame pačiame kompiuteryje, kuris naudojamas žaidimams ir naršymui, panaikina esminę „Out-of-Band“ aparatūrinio atskyrimo saugumo ribą. Užsikrėtus slaptažodžių vagimi, užpuolikai pavagia SDA duomenų bazę ir per kelias sekundes ištuština jūsų inventorių. Fizinis telefonas išlieka auksiniu standartu.
Kodėl mano prekyba apribota pakeitus „Steam“ slaptažodį? ▼
Siekiant apsaugoti paskyrą, jei užpuolikas atspėtų ar sužinotų slaptažodį, „Valve“ taiko automatinį 2–7 dienų prekybos atšalimo laikotarpį po slaptažodžio atstatymo. Apribojimas panaikinamas automatiškai pasibaigus šiam terminui.
Ar „Steam Family View“ apsaugo nuo paskyros užgrobimo? ▼
Family View suteikia puikią papildomą apsaugą. Reikalaudamas 4 skaitmenų PIN kodo prieigai prie inventoriaus ir mainų, jis neleidžia įsibrovėliui perimti jūsų daiktų net ir turint aktyvią naršyklės sesiją.
Generuokite universalius 2FA kodus saugiai
Reikia generuoti standartinius RFC 6238 TOTP kodus žaidimų, debesų ar socialinėms paskyroms? Naudokite 2FA-Tool 100 % autonominį skaičiuotuvą naršyklėje.