Platform Steam Valve bukan sekadar platform pengedaran digital terkemuka di dunia untuk permainan PC; ia menyokong ekonomi maya bernilai berbilion dolar yang didorong oleh barangan kosmetik boleh didagangkan merentasi Counter-Strike 2 (CS2), Dota 2, dan Team Fortress 2. Kerana inventori maya mewakili aset cair dan boleh ditukar ganti, akaun pengguna Steam disasarkan secara sistematik oleh pembanjir kelayakan (credential stuffers) automatik dan sindiket pemancingan data. Pengesah Mudah Alih Steam Guard adalah kedua-dua peti besi biometrik utama anda dan pintu masuk penting untuk perdagangan rakan-ke-rakan (P2P) tanpa kependaman.
Pemetaan Base32 tersuai tidak termasuk huruf vokal dan glif kabur, diselaraskan masa dengan pelayan Valve.
Mesti aktif selama 7 hari berturut-turut (168 jam) untuk membuka kunci perdagangan segera dan mengelakkan penahanan escrow 15 hari.
Dipaparkan sekali sahaja semasa pendaftaran. Menjamin penyahaktifan pengesah serta-merta jika perkakasan hilang.
Seni Bina Steam Guard: Mengapa 5 Aksara Alfanumerik?
Pengguna yang terbiasa dengan token perpuluhan 6-digit daripada Google Authenticator atau fob perbankan perkakasan sering mendapati format token Steam membingungkan. Steam Guard memaparkan kod seperti K8MN2 atau R7WXY. Mengapakah Valve menyimpang daripada output perpuluhan standard RFC 6238?
1. Pemetaan 26-Aksara Proprietari & Penyahkaburan Glif
Standard RFC 6238 memperoleh token 6-digit dengan mengira integer 31-bit daripada ringkasan HMAC-SHA1 dan mengira mod 10^6. Jurutera Valve membina struktur pemetaan alternatif menggunakan abjad 26-aksara:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Pemetaan ini menunjukkan kejuruteraan keselamatan faktor manusia yang ketara. Dengan mengalih keluar aksara yang mengelirukan secara visual (seperti digit 0 lwn huruf O, dan digit 1 lwn huruf I dan L), ralat transkripsi menurun secara drastik. Paling penting, dengan mengecualikan semua huruf vokal bahasa Inggeris (A, E, I, O, U), rentetan 5 aksara tidak boleh membentuk perkataan yang menyinggung perasaan secara tidak sengaja pada skrin.
2. Penyegerakan Masa Nyata melalui ITwoFactorService
Pengesah TOTP tradisional bergantung secara eksklusif pada jam sistem operasi telefon pintar klien. Perbezaan 30 saat mengakibatkan token tidak sah. Valve menyelesaikan perkara ini dengan meminta Aplikasi Mudah Alih Steam menyoal titik akhir cap masa kluster Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Klien mudah alih mengira ofset tepat terhadap kluster atom Valve. Walaupun pengguna melaraskan jam telefon pintar mereka ke belakang selama dua jam secara manual, Steam Guard tetap menjana token yang sah secara matematik.
| Mekanisme Pengesahan | Format Kod | Tetingkap | Keserasian TOTP Pihak Ketiga | Pengecualian Escrow Perdagangan |
|---|---|---|---|---|
| Pengesah Mudah Alih Steam Guard | 5 Alfanumerik (M78KQ) | 30 Saat | Proprietari (Memerlukan pengekstrakan shared_secret) | ✅ Segera (Selepas 7 hari) |
| Pengesahan E-mel Steam Guard | 5 Alfanumerik (Melalui E-mel) | Dinamik / Sekali Guna | Tidak Serasi | ❌ Penahanan Mandatori 15 Hari |
| Standard RFC 6238 (cth., 2FA-Tool) | 6 Digit Perpuluhan (123456) | 30 Saat | Standard Industri Sejagat | Tidak Berkenaan untuk Perdagangan Steam |
Memintas Penahanan Dagangan 15 Hari (Dasar Escrow Perdagangan)
Sebelum akhir tahun 2015, beribu-ribu pengguna Steam mendapati inventori maya mereka dicuri setiap hari melalui pemancingan data dan perisian hasad. Kerana perdagangan berlaku serta-merta dan tidak boleh diubah balik, barang curi berpindah tangan melalui sindiket pengubahan haram dalam masa beberapa jam. Untuk menghapuskan insentif komersial kecurian akaun, Valve melaksanakan Penahanan Dagangan (Escrow) dan Penahanan Pasaran.
Mekanik & Ambang Pencetus Escrow:
- Berdagang Tanpa Pengesah Mudah Alih: Jika pengguna perdagangan tidak mempunyai Pengesah Mudah Alih yang aktif pada akaun mereka, barangan yang didagangkan ditahan dalam escrow oleh Steam sehingga 15 hari.
- Pengecualian Rakan Jangka Panjang: Jika penerima dagangan telah berada dalam senarai Rakan Steam anda selama lebih daripada 1 tahun berterusan, penahanan dikurangkan kepada 1 hari.
- Penyenaraian Pasaran Komuniti: Penyenaraian yang dibuat tanpa pengesahan mudah alih diasingkan dalam escrow sehingga 15 hari sebelum boleh dilihat di Pasaran Komuniti Steam.
1. Kedua-dua pihak perdagangan mesti mendayakan Pengesah Mudah Alih Steam Guard pada akaun mereka selama sekurang-kurangnya 7 hari penuh berturut-turut (168 jam).
2. Penghantar mesti meluluskan perdagangan keluar dalam bahagian "Pengesahan" (Confirmations) aplikasi Steam mudah alih mereka.
3. Tiada pihak yang telah melaksanakan penetapan semula kata laluan atau penyingkiran pengesah dalam tempoh 7 hari sebelumnya.
Pengesahan Mudah Alih & Pertahanan Penipuan Kunci API
Walaupun dengan Steam Guard didayakan, pemain sering menjadi mangsa kepada Penipuan Kunci API Steam (Pemancingan Pemintasan Dagangan) yang terkenal. Memahami vektor serangan ini amat penting bagi pedagang skin.
Kronologi Pelaksanaan Serangan:
- Pengumpulan Kelayakan: Mangsa melawat laman pertukaran skin palsu, portal kejohanan, atau laman pembukaan peti dan mengesahkan melalui dialog palsu "Log masuk melalui Steam".
- Penyediaan Senyap Kunci API Web: Menggunakan kuki sesi yang dikumpulkan, bot penyerang melayari konsol pembangun Steam (
steamcommunity.com/dev/apikey) secara senyap dan mendaftarkan Kunci API di bawah domain penyerang. - Pemintasan Tawaran Perdagangan Automatik: Beberapa hari kemudian, mangsa menghantar tawaran dagangan yang mengandungi pisau CS2 bernilai $1,000 kepada bot dagangan sah atau rakan.
- Pembatalan Segera & Penyamaran Klon: Pelayan penyerang, yang meninjau API Web Steam setiap 500ms, mengesan tawaran yang belum selesai. Ia secara automatik membatalkan perdagangan tulen, mengikis avatar dan nama profil penerima, mencipta profil bot serupa di Steam, dan menghantar tawaran perdagangan serupa kepada mangsa.
- Pengesahan Mudah Alih yang Cuai: Mangsa membuka aplikasi mudah alih Steam mereka. Melihat avatar dan pisau yang biasa, mereka mengetik "Sahkan Dagangan" tanpa menyemak tarikh penciptaan akaun penerima atau Tahap Steam. Barangan tersebut dipindahkan terus ke inventori penyerang.
- Audit Halaman Kunci API Anda: Layari
https://steamcommunity.com/dev/apikey. Jika anda bukan pembangun dan melihat kunci aktif, batalkannya serta-merta dan tukar kata laluan Steam anda. - Periksa Tempoh Hayat Akaun pada Mudah Alih: Apabila mengesahkan dagangan dalam aplikasi Steam, semak butiran penerima dengan teliti. Steam memaparkan tahun pendaftaran yang tepat (cth., "Ahli sejak 2017"). Jika dagangan yang ditujukan kepada rakan lama memaparkan "Ahli sejak hari ini", batalkan dengan segera.
- Tetapkan Semula URL Dagangan: Dalam tetapan privasi inventori anda, jana URL tawaran perdagangan baharu untuk membatalkan titik akhir yang telah bocor sebelumnya.
Anatomi Kriptografi: Seni Bina Dwi shared_secret lwn identity_secret
Di sebalik tabir seni bina aplikasi mudah alih Valve, Steam Guard bergantung pada dua kunci kriptografi berasingan yang dijana semasa pendaftaran dan dikunci di dalam storan tempatan telefon pintar yang dipencilkan (sandboxed):
- shared_secret: Kunci rahsia berkod Base64 yang digunakan secara eksklusif untuk memperoleh kod TOTP 5-aksara yang dipaparkan pada skrin peranti anda untuk log masuk interaktif klien desktop dan pelayar.
- identity_secret: Kunci kriptografi bebas yang digunakan untuk menandatangani token HMAC-SHA1 secara digital yang dihantar ke titik akhir API pengesahan mudah alih Valve (
/mobileconf/getlistdan/mobileconf/ajaxop). Kunci ini membenarkan operasi yang tidak boleh diubah balik: meluluskan dagangan keluar dan menyenaraikan aset berharga di Pasaran Komuniti Steam.
Ramai pedagang barangan maya volum tinggi beralih kepada utiliti desktop sumber terbuka pihak ketiga seperti Steam Desktop Authenticator (SDA) untuk mengautomasikan pengesahan dagangan. SDA mengekstrak kedua-dua shared_secret dan identity_secret, menyimpannya sebagai teks biasa atau fail metadata JSON yang disulitkan secara lemah (.maFile) pada sistem fail Windows tempatan pengguna.
Aliran kerja ini memusnahkan aksiom keselamatan teras pengesahan dua faktor: Pengasingan perkakasan Luar Saluran (Out-of-Band - OOB). Apabila trojan pencuri maklumat (seperti RedLine, Lumma, atau Vidar) menjangkiti PC permainan, ia menyaring pemacu storan pengguna secara khusus untuk artifak .maFile. Sebaik sahaja dicuri, penyerang tidak memerlukan akses fizikal ke telefon anda; rangkaian bot automatik mereka memuatkan rahsia anda, menjana token log masuk yang sah, membatalkan dagangan sebenar anda, dan menandatangani pengesahan mudah alih baharu untuk melupuskan seluruh inventori anda dalam masa beberapa minit.
Pembatalan Kecemasan: Kuasa Tertinggi Kod-R
Apabila anda mendaftar dalam Pengesah Mudah Alih Steam Guard, selepas mengesahkan kod SMS selular anda, aplikasi memaparkan kod yang bermula dengan huruf R diikuti oleh 5 digit (cth., R12345). Ini adalah Kod Pembatalan (R-Code) anda.
Kuasa & Skop Kod-R:
Tidak seperti kod sandaran Google atau Discord (yang memberikan sesi log masuk sekali guna), Kod-R Steam tidak membenarkan anda log masuk. Fungsi seni bina tunggalnya adalah untuk membatalkan dan menanggalkan pengesah mudah alih secara unilateral daripada akaun anda.
Jika telefon anda dicuri, terjatuh ke dalam air, atau hilang di luar negara di mana kad SIM anda tidak boleh merayau, anda boleh membuka mana-mana pelayar desktop, klik "Saya tidak boleh mengakses Pengesah Mudah Alih Steam Guard saya", masukkan Kod-R anda, dan pengesah akan ditanggalkan serta-merta tanpa prompt SMS atau kelulusan mudah alih.
Menyimpan tangkapan skrin Kod-R anda dalam galeri foto telefon pintar membatalkan tujuannya: apabila telefon anda hilang atau rosak, Kod-R anda akan hilang bersamanya. Catatkannya pada kertas fizikal atau simpankannya ke dalam peti besi kata laluan yang disulitkan (1Password, Bitwarden, KeePassXC).
Menaik Taraf Telefon: Migrasi Langkah demi Langkah Tanpa Penahanan Dagangan
Setiap kali pemain menaik taraf peranti iPhone atau Android mereka, ramai yang membuat kesilapan memadamkan pengesah pada telefon lama terlebih dahulu, mencetuskan penahanan dagangan escrow 15 hari yang merugikan. Sebaliknya, ikuti laluan migrasi lancar rasmi Valve:
JANGAN Padamkan Pengesah pada Telefon Lama
Biarkan peranti lama tidak disentuh. Pemadaman manual menurunkan perlindungan akaun kembali ke pengesahan e-mel, mengenakan sekatan dagangan mandatori serta-merta.
Pasang Aplikasi Steam pada Telefon Baharu
Muat turun aplikasi Steam rasmi daripada Apple App Store atau Google Play Store. Lancarkan aplikasi dan masukkan nama pengguna serta kata laluan anda.
Pilih "Pindahkan Pengesah ke Peranti Ini"
Apabila digesa memasukkan kod Steam Guard semasa, ketik "Sila bantu, saya tidak lagi mempunyai akses kepada kod Pengesah Mudah Alih Steam Guard saya". Kemudian pilih "Pindahkan pengesah ke peranti ini".
Sahkan melalui Kod Pengesahan SMS
Steam menghantar kod pengesahan SMS 6-digit ke nombor selular berdaftar anda. Masukkan kod ini pada telefon baharu. Valve memindahkan bahan penguncian kriptografi ke peranti baharu anda dan menyahkebenarkan telefon lama.
✅ Aliran migrasi ini mengekalkan tempoh bertenang perdagangan pada tahap minimum (biasanya hanya penahanan ringkas 2 hari dan bukannya penalti escrow penuh 15 hari).
Buku Panduan Pemulihan Bencana Tiga Tahap
Tahap 1: Telefon Hilang, tetapi Nombor Telefon Dikekalkan
Dapatkan kad SIM pengganti daripada syarikat telekomunikasi selular anda. Pada pelayar desktop, log masuk ke Steam, pilih "Saya tidak mempunyai akses kepada pengesah saya", dan pilih pemulihan SMS. Masukkan kod untuk mengalih keluar peranti lama atau memperuntukkan peranti baharu.
Tahap 2: Telefon & Nombor Telefon Hilang, tetapi Kod-R Tersedia
Layari help.steampowered.com -> "Bantuan, saya tidak boleh log masuk" -> "Saya telah memadam atau kehilangan Pengesah Mudah Alih Steam Guard saya" -> "Saya tidak lagi mempunyai akses kepada nombor telefon ini". Masukkan kod R##### yang anda simpan. Steam menamatkan ikatan pengesah serta-merta.
Tahap 3: Kerugian Menyeluruh (Tiada Telefon, Tiada Nombor, Tiada Kod-R) — Bukti Pemilikan
Hantar tiket sokongan manual kepada Valve. Anda mesti membekalkan Bukti Pemilikan Akaun yang boleh dipertahankan dari segi undang-undang:
- Kunci CD Permainan Runcit: Gambar jelas kotak permainan fizikal yang memaparkan pelekat Kunci CD bersama nombor rujukan tiket sokongan tulisan tangan anda.
- Pengesahan Kad Kredit: Nama pada kad, alamat pengebilan, pengeluar kad, dan 4 digit terakhir yang digunakan untuk pembelian Steam.
- Resit Pembayaran Pihak Ketiga: ID Invois PayPal atau nombor resit transaksi Alipay / WeChat yang dipautkan kepada pembelian Steam.
- Kad Fizikal Steam Wallet: Gambar kad fizikal Steam Wallet yang belum digores atau telah ditebus.
🛡️ Triage Pasca-Kompromi: Protokol Tindak Balas Insiden 6 Langkah
Jika anda mengesan aktiviti akaun yang mencurigakan, perdagangan yang tidak normal, atau mengesyaki kelayakan anda telah dituai, laksanakan senarai semak pembendungan insiden kritikal masa ini dengan segera:
- Paksa Penukaran Kata Laluan: Kemas kini kata laluan induk Steam anda serta-merta daripada peranti kedua atau telefon pintar yang selamat dan bersih. Menukar kata laluan induk menamatkan token sesi pelayar aktif serta-merta.
- Nyahkebenarkan Semua Peranti Aktif: Layari Butiran Akaun Steam -> Urus Steam Guard -> klik "Nyahkebenarkan semua peranti lain". Ini membersihkan kuki sesi aktif merentasi semua pemasangan desktop dan aplikasi mudah alih.
- Batalkan Kunci API Web yang Dikompromi: Lawati
steamcommunity.com/dev/apikeydan klik "Revoke My Steam Web API Key" untuk memutuskan cangkuk bot penggodam. - Jana Semula URL Tawaran Dagangan: Dalam tetapan privasi tawaran perdagangan inventori anda, jana URL Tawaran Dagangan baharu untuk memecahkan sebarang penjejakan bot pengikis automatik.
- Aktifkan Perlindungan Steam Family View: Konfigurasikan PIN Family View 4-digit yang meliputi inventori dan akses perdagangan. Walaupun musuh memperoleh kuki sesi web sekali lagi, mereka tidak boleh melihat atau mendagangkan barangan tanpa menyelesaikan cabaran PIN.
- Lakukan Pembersihan Titik Akhir Hos Sepenuhnya: Jalankan imbasan perisian hasad luar talian dengan Windows Defender atau Malwarebytes untuk membersihkan muatan infostealer sebelum melancarkan Steam pada PC permainan utama anda.
Soalan Lazim (FAQ)
Bolehkah saya menggunakan perisian desktop (seperti SDA - Steam Desktop Authenticator) dan bukannya telefon? ▼
Walaupun utiliti sumber terbuka pihak ketiga seperti SDA boleh mengekstrak rahsia Steam anda dan mengautomasikan pengesahan perdagangan, menjalankan pengesah pada PC yang sama yang digunakan untuk bermain permainan dan melayari web memusnahkan sempadan keselamatan asas "Luar Saluran" (Out-of-Band). Jika stesen kerja anda dijangkiti trojan pencuri maklumat, penyerang akan merampas fail pangkalan data SDA anda dan mengosongkan inventori anda dalam masa beberapa saat. Telefon mudah alih fizikal yang khusus kekal sebagai piawaian emas perlindungan.
Mengapakah perdagangan saya dihadkan selepas menukar kata laluan Steam saya? ▼
Untuk mengelakkan penyerang yang memecahkan atau meneka kata laluan anda daripada memunggah inventori anda serta-merta, Valve menguatkuasakan tempoh bertenang perdagangan automatik 2 hari hingga 7 hari selepas penetapan semula kata laluan. Sekatan ini ditarik balik secara automatik sebaik sahaja tetingkap bertenang tamat.
Adakah Steam Family View menghalang perampasan akaun? ▼
Family View menyediakan pertahanan mendalam (defense-in-depth) yang hebat! Dengan memerlukan PIN 4-digit sekunder untuk mengakses inventori, tawaran dagangan, dan ciri gedung, penyerang yang mendapat akses kepada sesi web aktif anda tidak boleh memulakan dagangan atau memeriksa inventori anda tanpa menyelesaikan cabaran PIN terlebih dahulu.
Jana Token 2FA Sejagat Secara Selamat
Ingin menjana token TOTP RFC 6238 standard untuk akaun permainan, awan, dan sosial anda? Gunakan kalkulator bahagian klien 2FA-Tool yang 100% luar talian.