Valves Steam-plattform er ikke bare verdens ledende digitale distribusjonsplattform for PC-spill; den danner også grunnlaget for en virtuell økonomi verdt milliarder av dollar, drevet av omsettelige kosmetiske gjenstander i Counter-Strike 2 (CS2), Dota 2 og Team Fortress 2. Fordi virtuelle inventarer representerer likvide verdier, utsettes Steam-kontoer systematisk for automatiserte angrep som credential stuffing og målrettet phishing. Steam Guard Mobilautentisering fungerer både som ditt primære biometriske hvelv og som den nødvendige forutsetningen for direkte byttehandel uten forsinkelser.
Spesialtilpasset Base32-tilordning uten vokaler eller tvetydige tegn, tidssynkronisert mot Valves servere.
Må være aktiv i 7 sammenhengende dager (168 timer) for å aktivere umiddelbar byttehandel og unngå 15-dagers sperre.
Vises kun én gang under oppsett. Sikrer umiddelbar deaktivering av autentiseringen dersom enheten går tapt.
Steam Guard-arkitektur: Hvorfor 5 alfanumeriske tegn?
Brukere som er vant til 6-sifrede desimalkoder fra Google Authenticator eller bankbrikker stusser ofte over Steams format. Steam Guard viser koder som K8MN2 eller R7WXY. Hvorfor valgte Valve å avvike fra standard RFC 6238-desimalformat?
1. Proprietær 26-tegns tilordning og fjerning av tvetydige tegn
Standard RFC 6238 genererer en 6-sifret kode ved å hente et 31-bit heltall fra HMAC-SHA1-sammendraget og beregne mod 10^6. Valve-ingeniørene etablerte i stedet en alternativ tilordningsstruktur basert på et 26-tegns alfabet:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Dette oppsettet demonstrerer god sikkerhetsdesign med hensyn til den menneskelige faktor. Ved å fjerne visuelt tvetydige tegn (som sifferet 0 mot bokstaven O, og sifferet 1 mot bokstavene I og L), reduseres inntastingsfeil dramatisk. Enda viktigere: Ved å utelate alle engelske vokaler (A, E, I, O, U), kan den 5-tegns strengen aldri tilfeldig danne upassende eller støtende ord på skjermen.
2. Sanntids tidssynkronisering via ITwoFactorService
Tradisjonelle TOTP-autentiseringsapper er helt avhengige av systemklokken på smarttelefonen. Et avvik på 30 sekunder resulterer i ugyldige koder. Valve løser dette ved at Steam Mobile-appen forespør tidsstempelet direkte fra Valves klyngeendepunkt: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilklienten beregner det nøyaktige tidsavviket mot Valves atomur. Selv om brukeren manuelt stiller smarttelefonens klokke to timer tilbake, genererer Steam Guard matematisk gyldige koder.
| Autentiseringsmekanisme | Kodeformat | Tidsvindu | Tredjeparts TOTP-kompatibilitet | Fritak fra byttesperre |
|---|---|---|---|---|
| Steam Guard Mobilautentisering | 5 alfanumeriske tegn (M78KQ) | 30 sekunder | Proprietær (krever uthenting av shared_secret) | ✅ Umiddelbar (etter 7 dager) |
| Steam Guard e-postvalidering | 5 alfanumeriske tegn (via e-post) | Dynamisk / engangs | Inkompatibel | ❌ Obligatorisk 15-dagers sperre |
| Standard RFC 6238 (f.eks. 2FA-Tool) | 6 desimalsifre (123456) | 30 sekunder | Universell bransjestandard | Ikke relevant for Steam Trade |
Unngå 15-dagers byttepauser (Trade Escrow Policy)
Før slutten av 2015 opplevde tusenvis av Steam-brukere daglig at inventarene deres ble tømt via phishing og skadevare. Fordi bytter skjedde umiddelbart og var irreversible, ble stjålne gjenstander hvitvasket gjennom nettverk av mellommenn i løpet av få timer. For å eliminere det økonomiske motivet for kontotyveri innførte Valve byttepauser (Trade Holds / Escrow) og markedspauser (Market Holds).
Utløsermekanismer og terskler for byttepauser:
- Bytting uten mobilautentisering: Hvis brukeren som bytter bort gjenstander ikke har en aktiv mobilautentisering på kontoen sin, holdes gjenstandene i sperre (escrow) av Steam i opptil 15 dager.
- Unntak for langvarige venner: Hvis mottakeren har vært på vennelisten din på Steam sammenhengende i mer enn 1 år, reduseres sperrefristen til 1 dag.
- Oppføringer på samfunnsmarkedet: Salgsoppføringer opprettet uten mobilbekreftelse holdes i sperre i opptil 15 dager før de blir synlige på Steam Community Market.
1. Begge parter i byttehandelen må ha aktivert Steam Guard Mobilautentisering i minst 7 sammenhengende dager (168 timer).
2. Avsenderen må godkjenne det utgående byttet i "Bekreftelser"-seksjonen (Confirmations) i Steam-mobilappen.
3. Ingen av partene må ha tilbakestilt passordet eller fjernet autentiseringen i løpet av de siste 7 dagene.
Mobilbekreftelser og beskyttelse mot API-nøkkelsvindel
Selv med Steam Guard aktivert blir mange spillere ofre for den beryktede Steam API-nøkkelsvindelen (Trade Interception Phishing). Å forstå denne angrepsvektoren er avgjørende for alle som omsetter virtuelle gjenstander.
Kronologi over et angrep:
- Innsamling av påloggingsinformasjon: Offeret besøker en falsk bytteside, turneringsportal eller kasseåpningsside og logger inn via en falsk "Logg inn med Steam"-dialogboks.
- Skjult opprettelse av Web API-nøkkel: Ved hjelp av de stjålne økt-informasjonskapslene (session cookies) navigerer angriperens bot stille til Steams utviklerkonsoll (
steamcommunity.com/dev/apikey) og registrerer en API-nøkkel under angriperens domene. - Automatisert avskjæring av byttetilbud: Noen dager senere sender offeret et byttetilbud med en verdifull CS2-kniv til en legitim handelsbot eller en venn.
- Umiddelbar kansellering og opprettelse av kloneprofil: Angriperens server, som sjekker Steam Web API hvert 500. millisekund, oppdager tilbudet. Den kansellerer automatisk det ekte byttet, kopierer mottakerens profilbilde og visningsnavn, oppretter en identisk botprofil på Steam og sender et nytt tilbud til offeret.
- Uoppmerksom mobilbekreftelse: Offeret åpner Steam-mobilappen. Ved å se det kjente profilbildet trykker brukeren "Bekreft bytte" uten å sjekke kontoens opprettelsesår eller Steam-nivå. Kniven overføres direkte til angriperens inventar.
- Kontroller API-nøkkelsiden din: Gå til
https://steamcommunity.com/dev/apikey. Hvis du ikke er utvikler og ser en aktiv nøkkel, må du tilbakekalle den umiddelbart (Revoke) og endre passordet ditt på Steam. - Sjekk kontoens alder i mobilappen: Når du bekrefter et bytte i Steam-appen, må du granske mottakerens detaljer nøye. Steam viser det eksakte registreringsåret (f.eks. "Medlem siden 2017"). Hvis et bytte ment for en langvarig venn viser "Medlem siden i dag", må du avbryte med en gang.
- Tilbakestill bytte-URL (Trade Offer URL): Gå til inventarinnstillingene dine og generer en ny byttelenke for å ugyldiggjøre eventuelle lekkede endepunkter.
Kryptografisk oppbygning: Den doble arkitekturen med shared_secret og identity_secret
Under panseret i mobilarkitekturen benytter Steam Guard to uavhengige kryptografiske nøkler som genereres under oppsettet og lagres i smarttelefonens isolerte sandkasselagring:
- shared_secret: En Base64-kodet hemmelig nøkkel som utelukkende brukes til å utlede de 5-tegns TOTP-kodene som vises på enhetens skjerm ved innlogging via nettleser eller skrivebordsklient.
- identity_secret: En separat kryptografisk nøkkel som brukes til å signere HMAC-SHA1-tokens digitalt overfor Valves endepunkter for mobilbekreftelse (
/mobileconf/getlistog/mobileconf/ajaxop). Denne nøkkelen autoriserer ugjenkallelige handlinger: godkjenning av utgående bytter og salg av verdifulle gjenstander på markedet.
Mange aktive tradere tyr til tredjeparts åpen kildekode-verktøy som Steam Desktop Authenticator (SDA) for å automatisere byttebekreftelser. SDA henter ut både shared_secret og identity_secret og lagrer dem som ren tekst eller svakt krypterte JSON-filer (.maFile) på brukerens Windows-datamaskin.
Dette bryter fundamentalt med sikkerhetsprinsippet for tofaktorautentisering: Maskinvareisolert flerkanalsbeskyttelse (Out-of-Band hardware isolation). Hvis en infostealer-trojaner (som RedLine, Lumma eller Vidar) infiserer gaming-PC-en, gjennomsøker den harddisken etter .maFile-filer. Når disse er stjålet, trenger ikke angriperen telefonen din i det hele tatt; deres automatiserte boter laster inn nøklene, genererer gyldige innloggingskoder, avbryter dine ekte bytter og signerer nye bekreftelser for å tømme hele inventaret ditt på få minutter.
Nødtilbakekalling: Den suverene R-koden
Når du aktiverer Steam Guard Mobilautentisering, viser applikasjonen etter SMS-verifiseringen en kode som starter med bokstaven R etterfulgt av 5 sifre (f.eks. R12345). Dette er din tilbakekallingskode (Revocation Code / R-Code).
R-kodens funksjon og bruksområde:
I motsetning til reservekoder hos Google eller Discord (som gir engangspålogging), gir ikke Steams R-kode deg direkte tilgang til kontoen. Dens eneste funksjon er å umiddelbart og ensidig koble fra og fjerne mobilautentiseringen fra kontoen din.
Dersom telefonen din blir stjålet, faller i vannet eller mistes i utlandet der du ikke har mobildekning, kan du åpne en nettleser, klikke på "Jeg har ikke lenger tilgang til mine Steam Guard-koder" og oppgi R-koden din. Autentiseringen fjernes umiddelbart uten behov for SMS eller mobilgodkjenning.
Å lagre et skjermbilde av R-koden i telefonens bildegalleri undergraver hele formålet: Hvis telefonen mistes eller blir ødelagt, forsvinner R-koden sammen med den. Skriv den ned på papir eller lagre den i et kryptert passordhvelv (1Password, Bitwarden, KeePassXC).
Bytte telefon: Trinnvis migrering uten byttepauser
Når spillere bytter til en ny iPhone eller Android-enhet, gjør mange den feilen å deaktivere autentiseringen på den gamle telefonen først, noe som utløser en 15-dagers handelsstopp. Følg i stedet Valves offisielle og sømløse migreringsprosedyre:
IKKE fjern autentiseringen på den gamle telefonen
La den gamle enheten være uendret. Manuell fjerning nedgraderer beskyttelsen til e-postbasert Steam Guard og innfører en umiddelbar byttesperre.
Installer Steam-appen på den nye telefonen
Last ned den offisielle Steam-appen fra Apple App Store eller Google Play Store. Åpne appen og logg inn med brukernavn og passord.
Velg "Flytt autentisering til denne enheten"
Når du blir bedt om Steam Guard-koden, trykker du på "Hjelp, jeg har ikke lenger tilgang til kodene fra Steam Guard-mobilautentiseringen min". Velg deretter "Flytt autentiseringen til denne enheten".
Bekreft med SMS-verifiseringskode
Steam sender en 6-sifret verifiseringskode via SMS til ditt registrerte telefonnummer. Skriv inn koden på den nye telefonen. Valve overfører krypteringsnøklene til din nye enhet og deaktiverer den gamle telefonen.
✅ Denne fremgangsmåten holder handelsbegrensninger på et minimum (vanligvis kun en kort 2-dagers sperre i stedet for hele 15-dagers perioden).
Tre-trinns beredskapsplan for nødgjenoppretting
Nivå 1: Telefon tapt, men telefonnummer beholdt
Skaff et erstatnings-SIM-kort fra mobiloperatøren din. Logg inn på Steam i en nettleser, velg "Jeg har ikke tilgang til autentiseringen" og be om gjenoppretting via SMS. Oppgi koden for å koble fra den gamle enheten eller konfigurere en ny.
Nivå 2: Både telefon og nummer tapt, men R-koden er tilgjengelig
Gå til help.steampowered.com -> "Hjelp, jeg kan ikke logge inn" -> "Jeg har slettet eller mistet min Steam Guard-mobilautentisering" -> "Jeg har ikke lenger tilgang til dette telefonnummeret". Skriv inn din lagrede R#####-kode. Steam fjerner autentiseringen umiddelbart.
Nivå 3: Fullstendig tap (ingen telefon, nummer eller R-kode) — bevis på eierskap
Opprett en manuell støttesak hos Valve. Du må levere juridisk holdbart bevis på kontoeierskap (Proof of Ownership):
- Fysiske CD-nøkler: Tydelige fotografier av fysiske spillomslag med CD-nøkkel-klistremerke, sammen med støttesaksnummeret håndskrevet på et papir ved siden av.
- Kredittkortbekreftelse: Navn på kortet, fakturaadresse, bank og de 4 siste sifrene på kortet som ble brukt til kjøp på Steam.
- Kvitteringer for tredjepartsbetaling: PayPal-fakturakoder eller transaksjonsnumre knyttet til kjøp på Steam.
- Fysiske Steam Wallet-gavekort: Fotografier av fysiske Steam Wallet-kort (ubrukte eller innløste).
🛡️ Tiltak etter kompromittering: Beredskapsprotokoll i 6 trinn
Hvis du oppdager mistenkelig kontoaktivitet eller mistenker at påloggingsinformasjonen din er lekket, må du umiddelbart utføre følgende tiltak:
- Bytt hovedpassord umiddelbart: Endre passordet ditt på Steam fra en sikker enhet. Bytte av passord avslutter aktive nettleserøkter omgående.
- Deautoriser alle aktive enheter: Gå til Kontodetaljer -> Administrer Steam Guard -> klikk på "Deautoriser alle andre enheter". Dette sletter aktive informasjonskapsler på tvers av datamaskiner og apper.
- Tilbakekall kompromittert Web API-nøkkel: Gå til
steamcommunity.com/dev/apikeyog klikk "Revoke My Steam Web API Key" for å koble fra hackerboter. - Generer ny byttelenke: I innstillingene for byttetilbud genererer du en ny Trade Offer URL for å stoppe automatisk sporing.
- Aktiver Steam Familievisning (Family View): Konfigurer en 4-sifret PIN-kode for tilgang til inventar og handel. Selv om en angriper har tilgang til økten din, kan vedkommende ikke handle uten koden.
- Gjennomfør fullstendig virussøk: Kjør et grundig søk med Windows Defender eller Malwarebytes for å fjerne infostealere før du bruker Steam på din primære spill-PC igjen.
Ofte stilte spørsmål (FAQ)
Kan jeg bruke programvare på PC (som SDA - Steam Desktop Authenticator) i stedet for en telefon? ▼
Selv om tredjepartsverktøy som SDA kan hente ut nøklene dine og automatisere byttebekreftelser, ødelegger det å kjøre autentiseringen på samme maskin som du spiller og surfer på det grunnleggende sikkerhetsprinsippet om isolert maskinvare. Hvis datamaskinen rammes av en trojaner, stjeler angriperne databasen din og tømmer inventaret ditt på sekunder. Fysiske mobiltelefoner forblir den sikreste løsningen.
Hvorfor er byttingen min begrenset etter at jeg endret Steam-passordet? ▼
For å hindre at en angriper som knekker passordet ditt umiddelbart selger inventaret ditt, innfører Valve en automatisk handelsbegrensning på 2 til 7 dager etter passordendring. Begrensningen oppheves automatisk når perioden utløper.
Forhindrer Steam Familievisning (Family View) at kontoen min blir kapret? ▼
Familievisning gir et solid ekstra sikkerhetslag! Ved å kreve en sekundær 4-sifret PIN-kode for tilgang til inventar, handel og butikk, kan en angriper som overtar nettleserøkten din verken se eller bytte bort gjenstander uten å oppgi koden først.
Generer universelle 2FA-koder sikkert
Ønsker du å generere standard RFC 6238 TOTP-koder for spill-, sky- og sosiale mediekontoer? Bruk 2FA-Tools 100 % frakoblede, klientbaserte kalkulator.