Valve platforma Steam ir ne tikai pasaulē vadošā digitālās izplatīšanas platforma personālo datoru spēlēm; tā ir pamatā vairāku miljardu dolāru vērtai virtuālajai ekonomikai, ko veido tirgojami kosmētiskie priekšmeti tādās spēlēs kā Counter-Strike 2 (CS2), Dota 2 un Team Fortress 2. Tā kā virtuālie krājumi ir likvīdi, aizstājami aktīvi, Steam lietotāju konti tiek sistemātiski pakļauti automatizētiem pieteikšanās datu uzbrukumiem (credential stuffing) un pikšķerēšanas sindikātiem. Steam Guard mobilais autentifikators ir gan jūsu primārā biometriskā glabātava, gan neaizstājama vārteja uz tūlītēju savstarpējo (P2P) tirdzniecību.
Pielāgots Base32 kartējums, izslēdzot patskaņus un divdomīgas rakstzīmes, sinhronizēts ar Valve serveriem.
Jābūt aktīvam 7 dienas pēc kārtas (168 stundas), lai atbloķētu tūlītēju tirdzniecību un izvairītos no 15 dienu aizturēšanas.
Tiek parādīts tikai vienu reizi reģistrācijas laikā. Garantē tūlītēju autentifikatora atsaisti aparatūras nozaudēšanas gadījumā.
Steam Guard arhitektūra: kāpēc 5 burtciparu rakstzīmes?
Lietotājiem, kuri pieraduši pie 6 ciparu decimālajiem kodiem no Google Authenticator vai aparatūras bankas žetoniem, Steam kodu formāts bieži šķiet mulsinošs. Steam Guard rāda tādus kodus kā K8MN2 vai R7WXY. Kāpēc Valve atteicās no standarta RFC 6238 decimālās izvades?
1. Patentēts 26 rakstzīmju kartējums un simbolu nošķiršana
Standarta RFC 6238 iegūst 6 ciparu marķieri, aprēķinot 31 bitu veselu skaitli no HMAC-SHA1 kopsavilkuma un piemērojot mod 10^6. Valve inženieri ieviesa alternatīvu kartēšanas struktūru, izmantojot 26 rakstzīmju alfabētu:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Šis kartējums demonstrē ievērojamu cilvēkfaktora drošības inženieriju. Noņemot vizuāli divdomīgas rakstzīmes (piemēram, ciparu 0 pret burtu O, un ciparu 1 pret burtiem I un L), pārrakstīšanās kļūdas krasi samazinās. Būtiski, ka, izslēdzot visus angļu valodas patskaņus (A, E, I, O, U), 5 rakstzīmju virkne ekrānā nevar nejauši izveidot aizskarošus vārdus.
2. Reāllaika sinhronizācija, izmantojot ITwoFactorService
Tradicionālie TOTP autentifikatori paļaujas tikai uz klienta viedtālruņa operētājsistēmas pulksteni. 30 sekunžu nobīde rada nederīgus marķierus. Valve to atrisina, liekot Steam Mobile App pieprasīt Valve klastera laika zīmoga galapunktu: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilais klients aprēķina precīzu nobīdi pret Valve atomu klasteri. Pat ja lietotājs manuāli pagriež sava viedtālruņa pulksteni par divām stundām atpakaļ, Steam Guard ģenerē matemātiski derīgus kodus.
| Autentifikācijas mehānisms | Koda formāts | Logs | Trešo pušu TOTP saderība | Tirdzniecības aizturēšanas atbrīvojums |
|---|---|---|---|---|
| Steam Guard mobilais autentifikators | 5 burtciparu (M78KQ) | 30 sekundes | Patentēts (nepieciešams iegūt shared_secret) | ✅ Tūlītējs (pēc 7 dienām) |
| Steam Guard e-pasta validācija | 5 burtciparu (pa e-pastu) | Dinamisks / vienreizējs | Nesaderīgs | ❌ Obligāta 15 dienu aizturēšana |
| Standarta RFC 6238 (piem., 2FA-Tool) | 6 decimālie cipari (123456) | 30 sekundes | Universāls nozares standarts | Nav piemērojams Steam tirdzniecībai |
15 dienu tirdzniecības aizturēšanas (Trade Escrow Policy) apiešana
Pirms 2015. gada nogales tūkstošiem Steam lietotāju ik dienu tika iztukšoti virtuālie krājumi pikšķerēšanas un ļaunprogrammatūras dēļ. Tā kā darījumi bija tūlītēji un neatgriezeniski, nozagtās preces dažu stundu laikā tika atmazgātas caur noziedzīgiem tīkliem. Lai likvidētu finansiālo stimulu kontu zādzībām, Valve ieviesa Tirdzniecības aizturēšanu (Escrow) un Kopienas tirgus aizturēšanu.
Aizturēšanas mehānika un sliekšņi:
- Tirdzniecība bez mobilā autentifikatora: ja lietotājam kontā nav aktīva mobilā autentifikatora, nodotās preces Steam aiztur darījuma glabāšanā (escrow) līdz pat 15 dienām.
- Ilggadējo draugu izņēmums: ja darījuma saņēmējs ir bijis jūsu Steam draugu sarakstā nepārtraukti ilgāk par 1 gadu, aizturēšanas laiks tiek samazināts līdz 1 dienai.
- Kopienas tirgus saraksti: bez mobilā apstiprinājuma izveidotie pārdošanas piedāvājumi tiek aizturēti līdz 15 dienām pirms kļūšanas redzamiem Steam Kopienas tirgū.
1. Abām tirdzniecības pusēm savos kontos jābūt iespējotam Steam Guard mobilajam autentifikatoram vismaz 7 pilnas secīgas dienas (168 stundas).
2. Sūtītājam ir jāapstiprina izejošais darījums savas Steam mobilās lietotnes sadaļā "Confirmations".
3. Neviena puse pēdējo 7 dienu laikā nedrīkst būt atiestatījusi paroli vai noņēmusi autentifikatoru.
Mobilie apstiprinājumi un aizsardzība pret API atslēgu krāpniecību
Pat ja Steam Guard ir iespējots, spēlētāji bieži kļūst par upuri bēdīgi slavenajai Steam API atslēgu krāpniecībai (Trade Interception Phishing). Šī uzbrukuma vektora izpratne ir kritiski svarīga ikvienam virtuālo priekšmetu tirgotājam.
Uzbrukuma norises hronoloģija:
- Akreditācijas datu pārtveršana: Upuris apmeklē viltotu apvalku (skin) maiņas, turnīru portālu vai kastu atvēršanas vietni un autentificējas caur viltotu "Sign in through Steam" logu.
- Klusa Web API atslēgas reģistrācija: Izmantojot iegūtās sesijas sīkdatnes, uzbrucēja robots klusi dodas uz Steam izstrādātāja konsoli (
steamcommunity.com/dev/apikey) un reģistrē API atslēgu uzbrucēja domēnā. - Automatizēta tirdzniecības piedāvājuma pārtveršana: Dažas dienas vēlāk upuris nosūta 1000 USD vērtu CS2 nazi likumīgam tirdzniecības robotam vai draugam.
- Tūlītēja atcelšana un klona uzdošanās: Uzbrucēja serveris, kas aptaujā Steam Web API ik pēc 500 ms, pamana gaidāmo piedāvājumu. Tas automātiski atceļ īsto darījumu, nokopē saņēmēja profilu un vārdu, izveido identisku robota profilu pakalpojumā Steam un nosūta upurim identisku tirdzniecības piedāvājumu.
- Neuzmanīgs mobilais apstiprinājums: Upuris atver Steam mobilo lietotni. Redzot pazīstamo avatāru un nazi, viņš nospiež "Confirm Trade", nepārbaudot saņēmēja konta reģistrācijas datumu vai Steam līmeni. Priekšmets nekavējoties nonāk uzbrucēja krātuvē.
- Pārbaudiet savu API atslēgas lapu: Atveriet
https://steamcommunity.com/dev/apikey. Ja neesat izstrādātājs un redzat aktīvu atslēgu, nekavējoties atsauciet to (Revoke) un nomainiet savu Steam paroli. - Pārbaudiet konta vecumu mobilajā tālrunī: Apstiprinot darījumu Steam lietotnē, rūpīgi pārskatiet saņēmēja datus. Steam rāda precīzu reģistrācijas gadu (piemēram, "Member since 2017"). Ja darījumam, kas paredzēts ilgtermiņa partnerim, parādās "Member since today", nekavējoties atceliet to.
- Atiestatiet tirdzniecības URL: Krājumu iestatījumos ģenerējiet jaunu tirdzniecības piedāvājuma URL, lai padarītu nederīgus iepriekš nopludinātos galapunktus.
Kriptogrāfiskā anatomija: shared_secret pret identity_secret dubultā arhitektūra
Valve mobilās lietotnes arhitektūras pamatā Steam Guard paļaujas uz divām atsevišķām kriptogrāfiskām atslēgām, kas tiek izveidotas reģistrācijas laikā un aizzīmogotas viedtālruņa izolētajā vietējā krātuvē:
- shared_secret: Base64 kodēta slepenā atslēga, ko izmanto tikai 5 rakstzīmju TOTP kodu atvasināšanai ierīces ekrānā datora klienta un pārlūkprogrammas pieteikšanās vajadzībām.
- identity_secret: Neatkarīga kriptogrāfiskā atslēga, ko izmanto, lai digitāli parakstītu HMAC-SHA1 marķierus, kas tiek nosūtīti uz Valve mobilo apstiprinājumu API galapunktiem (
/mobileconf/getlistun/mobileconf/ajaxop). Šī atslēga autorizē neatgriezeniskas darbības: izejošo darījumu apstiprināšanu un vērtīgu priekšmetu ievietošanu Steam Kopienas tirgū.
Daudzi liela apjoma virtuālo priekšmetu tirgotāji izmanto trešo pušu atvērtā pirmkoda datora utilītas, piemēram, Steam Desktop Authenticator (SDA), lai automatizētu tirdzniecības apstiprinājumus. SDA izgūst gan shared_secret, gan identity_secret, saglabājot tos kā vienkārša teksta vai vāji šifrētus JSON metadatu failus (.maFile) lietotāja vietējā Windows failu sistēmā.
Šī darbplūsma iznīcina divfaktoru autentifikācijas galveno drošības aksiomu: aparatūras izolāciju ārpus sakaru kanāla (Out-of-Band - OOB). Kad informācijas zagšanas trojans (piemēram, RedLine, Lumma vai Vidar) inficē spēļu datoru, tas īpaši pārbauda lietotāja diskus, meklējot .maFile artefaktus. Pēc to nozagšanas uzbrucējam pat nav nepieciešama fiziska piekļuve jūsu tālrunim; viņu automatizētais robotu tīkls ielādē jūsu noslēpumus, ģenerē derīgus pieteikšanās kodus, atceļ jūsu reālos darījumus un paraksta jaunus mobilos apstiprinājumus, lai dažu minūšu laikā likvidētu visu jūsu inventāru.
Ārkārtas atcelšana: visvarenais R-kods
Reģistrējoties Steam Guard mobilajā autentifikatorā, pēc mobilā SMS koda verificēšanas lietotne parāda kodu, kas sākas ar burtu R, kam seko 5 cipari (piemēram, R12345). Šis ir jūsu atcelšanas kods (R-kods).
R-koda spēks un apjoms:
Atšķirībā no Google vai Discord rezerves kodiem (kas nodrošina vienreizējas pieteikšanās sesijas), Steam R-kods neļauj jums pieteikties. Tā vienīgā funkcija ir vienpusēji atsaukt un atsaistīt mobilo autentifikatoru no jūsu konta.
Ja jūsu tālrunis tiek nozagts, iekritis ūdenī vai nozaudēts ārzemēs, kur SIM karte nevar izmantot viesabonēšanu, varat atvērt jebkuru darbvirsmas pārlūkprogrammu, noklikšķināt uz "I can't access my Steam Guard Mobile Authenticator", ievadīt savu R-kodu, un autentifikators tiek nekavējoties atvienots bez SMS vai mobilajiem apstiprinājumiem.
R-koda ekrānuzņēmuma saglabāšana viedtālruņa galerijā zaudē savu jēgu: ja tālrunis tiek nozaudēts vai saplīst, kopā ar to tiek zaudēts arī jūsu R-kods. Pierakstiet to uz fiziska papīra vai ievietojiet šifrētā paroļu pārvaldniekā (1Password, Bitwarden, KeePassXC).
Tālruņa maiņa: soli pa solim bez tirdzniecības aizturēšanas
Kad spēlētāji maina savu iPhone vai Android ierīci, daudzi pieļauj kļūdu, vispirms noņemot autentifikatoru vecajā tālrunī, kas izraisa 15 dienu tirdzniecības aizliegumu. Tā vietā izmantojiet Valve oficiālo migrācijas ceļu:
Nenoņemiet autentifikatoru vecajā tālrunī
Atstājiet veco ierīci neskartu. Manuāla noņemšana pazemina konta aizsardzību līdz e-pasta Guard līmenim un nekavējoties piemēro obligātu tirdzniecības embargo.
Instalējiet Steam lietotni jaunajā tālrunī
Lejupielādējiet oficiālo Steam lietotni no Apple App Store vai Google Play Store. Palaidiet lietotni un ievadiet savu lietotājvārdu un paroli.
Atlasiet "Move Authenticator to This Device"
Kad tiek prasīts pašreizējais Steam Guard kods, pieskarieties "Please help, I no longer have access to my Steam Guard Mobile Authenticator codes". Pēc tam atlasiet "Move authenticator to this device".
Apstipriniet ar SMS verifikācijas kodu
Steam nosūta 6 ciparu SMS verifikācijas kodu uz jūsu reģistrēto tālruņa numuru. Ievadiet šo kodu jaunajā tālrunī. Valve pārsūta kriptogrāfiskos atslēgu materiālus uz jūsu jauno ierīci un atceļ vecā tālruņa autorizāciju.
✅ Šī migrācijas plūsma samazina tirdzniecības dīkstāvi līdz minimumam (parasti īss 2 dienu pārtraukums, nevis pilns 15 dienu sods).
Trīs līmeņu avārijas atjaunošanas plāns
1. līmenis: Tālrunis nozaudēts, bet tālruņa numurs saglabāts
Iegūstiet rezerves SIM karti no mobilo sakaru operatora. Datora pārlūkprogrammā piesakieties Steam, izvēlieties "I don't have access to my authenticator" un atlasiet SMS atjaunošanu. Iesniedziet kodu, lai noņemtu veco ierīci vai konfigurētu jaunu.
2. līmenis: Nozaudēts gan tālrunis, gan numurs, bet ir pieejams R-kods
Atveriet help.steampowered.com -> "Help, I can't sign in" -> "I deleted or lost my Steam Guard Mobile Authenticator" -> "I no longer have access to this phone number". Ievadiet saglabāto R##### kodu. Steam nekavējoties pārtrauc autentifikatora piesaisti.
3. līmenis: Pilnīgs zaudējums (nav tālruņa, nav numura, nav R-koda) — īpašumtiesību apliecinājums
Iesniedziet manuālu atbalsta pieteikumu Valve. Jums jāiesniedz juridiski pārliecinošs Konta īpašumtiesību apliecinājums:
- Mazumtirdzniecības spēļu CD atslēgas: Skaidras fotogrāfijas ar fiziskajām spēļu kastēm, kurās redzama CD atslēgas uzlīme blakus jūsu ar roku rakstītajam atbalsta pieteikuma numuram.
- Kredītkartes verifikācija: Vārds uz kartes, norēķinu adrese, kartes izsniedzējs un pēdējie 4 cipari, kas izmantoti pirkumiem vietnē Steam.
- Trešo pušu maksājumu kvītis: PayPal rēķinu ID vai Alipay / WeChat darījumu kvīšu numuri, kas saistīti ar Steam pirkumiem.
- Steam Wallet fiziskās kartes: Nenokasītu vai izmantotu fizisko Steam Wallet karšu fotogrāfijas.
🛡️ Rīcība pēc drošības incidenta: 6 soļu protokols
Ja pamanāt aizdomīgas konta darbības, neparastus darījumus vai jums ir aizdomas par akreditācijas datu noplūdi, nekavējoties veiciet šo darbību sarakstu:
- Piespiedu paroles maiņa: Nekavējoties atjauniniet savu Steam galveno paroli no drošas, tīras sekundārās ierīces vai viedtālruņa. Paroles maiņa nekavējoties pārtrauc aktīvās pārlūkprogrammas sesijas.
- Atvienojiet visas aktīvās ierīces: Dodieties uz Steam Account Details -> Manage Steam Guard -> noklikšķiniet uz "Deauthorize all other devices". Tas dzēš aktīvās sesijas visās datora instalācijās un mobilajās lietotnēs.
- Atsauciet kompromitēto Web API atslēgu: Apmeklējiet vietni
steamcommunity.com/dev/apikeyun noklikšķiniet uz "Revoke My Steam Web API Key", lai pārtrauktu hakeru robotu piekļuvi. - Reģenerējiet tirdzniecības piedāvājuma URL: Krājumu konfidencialitātes iestatījumos izveidojiet jaunu tirdzniecības URL, lai apturētu automatizēto robotu izsekošanu.
- Aktivizējiet Steam Family View aizsardzību: Konfigurējiet 4 ciparu Family View PIN kodu krājumu un tirdzniecības piekļuvei. Pat ja uzbrucējs atkal iegūst tīmekļa sesijas sīkfailu, viņš nevarēs apskatīt preces vai veikt darījumus, neievadot PIN kodu.
- Veiciet pilnu datora pretvīrusu skenēšanu: Palaidiet bezsaistes ļaunprogrammatūras skenēšanu ar Windows Defender vai Malwarebytes, lai iztīrītu trojanus pirms Steam palaišanas galvenajā spēļu datorā.
Bieži uzdotie jautājumi (BUJ)
Vai tālruņa vietā varu izmantot datora programmatūru (piemēram, SDA - Steam Desktop Authenticator)? ▼
Lai gan trešo pušu atvērtā pirmkoda utilītas, piemēram, SDA, var izgūt jūsu Steam noslēpumu un automatizēt tirdzniecības apstiprinājumus, autentifikatora darbināšana tajā pašā datorā, ko izmanto spēlēm un tīmekļa pārlūkošanai, iznīcina fundamentālo ārpusjoslas (Out-of-Band) drošības robežu. Ja jūsu dators inficējas ar informācijas zagšanas trojanu, uzbrucēji pārtver jūsu SDA datubāzes failu un dažu sekunžu laikā iztukšo jūsu krātuvi. Fiziskie mobilie tālruņi joprojām ir zelta standarts.
Kāpēc mani darījumi tiek ierobežoti pēc Steam paroles maiņas? ▼
Lai novērstu situāciju, kad uzbrucējs, kurš uzlauž vai uzmin jūsu paroli, nekavējoties izpārdod jūsu inventāru, Valve automātiski nosaka 2 līdz 7 dienu tirdzniecības aizturēšanu pēc paroles maiņas. Ierobežojums tiek automātiski atcelts, tiklīdz atdzišanas periods ir beidzies.
Vai Steam Family View novērš konta pārņemšanu? ▼
Family View nodrošina būtisku daudzlīmeņu aizsardzību! Pieprasot sekundāru 4 ciparu PIN kodu, lai piekļūtu krājumiem, tirdzniecības piedāvājumiem un veikala funkcijām, uzbrucējs, kurš iegūst piekļuvi jūsu aktīvajai tīmekļa sesijai, nevar veikt darījumus vai pārbaudīt jūsu inventāru, vispirms neatrisinot PIN izaicinājumu.
Droši ģenerējiet universālos 2FA kodus
Vēlaties ģenerēt standarta RFC 6238 TOTP marķierus saviem spēļu, mākoņa un sociālajiem kontiem? Izmantojiet 2FA-Tool 100% bezsaistes klienta puses kalkulatoru.