Platforma Steam od spoločnosti Valve nie je len poprednou svetovou platformou digitálnej distribúcie PC hier; je základom virtuálnej ekonomiky v hodnote miliárd dolárov, ktorú poháňajú obchodovateľné kozmetické predmety v hrách ako Counter-Strike 2 (CS2), Dota 2 a Team Fortress 2. Pretože virtuálny inventár predstavuje likvidné aktíva, používateľské účty Steam sú systematickým cieľom automatizovaných útokov typu credential stuffing a phishingových syndikátov. Steam Guard Mobile Authenticator je vaším primárnym biometrickým trezorom a nepostrádateľnou bránou k okamžitému obchodovaniu bez zdržania.
Vlastné mapovanie Base32 vylučujúce samohlásky a nejednoznačné znaky, časovo synchronizované so servermi Valve.
Musí byť aktívny 7 po sebe idúcich dní (168 hodín), aby sa odomklo okamžité obchodovanie a predišlo 15-dňovému zadržaniu v escrow.
Zobrazí sa len raz pri registrácii. Zaručuje okamžité odpojenie autentifikátora v prípade straty hardvéru.
Architektúra Steam Guard: Prečo 5 alfanumerických znakov?
Používatelia zvyknutí na 6-ciferné desiatkové tokeny z Google Authenticator alebo bankových hardvérových kľúčov často považujú formát tokenov Steamu za mätúci. Steam Guard zobrazuje kódy ako K8MN2 alebo R7WXY. Prečo sa Valve odklonilo od štandardného desiatkového výstupu RFC 6238?
1. Vlastné 26-znakové mapovanie a odstránenie nejednoznačnosti znakov
Štandard RFC 6238 odvodzuje 6-ciferný token výpočtom 31-bitového celého čísla z digestu HMAC-SHA1 a výpočtom mod 10^6. Inžinieri Valve zaviedli alternatívnu mapovaciu štruktúru využívajúcu 26-znakovú abecedu:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Toto mapovanie demonštruje premyslené bezpečnostné inžinierstvo zohľadňujúce ľudský faktor. Odstránením vizuálne nejednoznačných znakov (ako je číslica 0 vs písmeno O a číslica 1 vs písmená I a L) dramaticky klesá chybovosť pri prepisovaní. Zásadné je, že vylúčením všetkých anglických samohlások (A, E, I, O, U) 5-znakový reťazec nemôže na obrazovke náhodne vytvoriť urážlivé anglické slová.
2. Časová synchronizácia v reálnom čase cez ITwoFactorService
Tradičné autentifikátory TOTP sa spoliehajú výlučne na hodiny operačného systému smartfónu. Odchýlka 30 sekúnd vedie k neplatným tokenom. Valve to rieši tak, že aplikácia Steam Mobile dopytuje koncový bod časovej pečiatky klastra Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilný klient vypočíta presný posun voči atómovému klastru Valve. Aj keď používateľ manuálne posunie hodiny na smartfóne o dve hodiny dozadu, Steam Guard vygeneruje matematicky platné tokeny.
| Autentifikačný mechanizmus | Formát kódu | Časové okno | Kompatibilita s TOTP tretích strán | Výnimka zo zadržania výmen (Escrow) |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 alfanumerických znakov (M78KQ) | 30 sekúnd | Proprietárny (vyžaduje extrakciu shared_secret) | ✅ Okamžité (po 7 dňoch) |
| Steam Guard overenie e-mailom | 5 alfanumerických znakov (cez e-mail) | Dynamické / jednorazové | Nekompatibilné | ❌ Povinné 15-dňové zadržanie |
| Štandardný RFC 6238 (napr. 2FA-Tool) | 6 desiatkových číslic (123456) | 30 sekúnd | Univerzálny priemyselný štandard | Neuplatňuje sa na výmeny na Steame |
Obídenie 15-dňového zadržania výmen (Zásady Trade Escrow)
Pred koncom roka 2015 prichádzali tisíce používateľov Steamu denne o svoje virtuálne inventáre v dôsledku phishingu a malvéru. Keďže obchody boli okamžité a nezvratné, ukradnuté predmety prechádzali cez siete priekupníkov v priebehu niekoľkých hodín. Na odstránenie komerčnej motivácie pre krádeže účtov zaviedlo Valve zadržanie výmen (Trade Holds / Escrow) a zadržanie na komunitnom trhu (Market Holds).
Mechanika a prahové hodnoty aktivácie Escrow:
- Obchodovanie bez mobilného autentifikátora: Ak obchodujúci používateľ nemá na svojom účte aktívny mobilný autentifikátor, odosielané predmety sú zadržané v escrow systéme Steamu až na 15 dní.
- Výnimka pre dlhoročných priateľov: Ak je príjemca obchodu vo vašom zozname priateľov na Steame nepretržite dlhšie ako 1 rok, zadržanie sa skracuje na 1 deň.
- Ponuky na komunitnom trhu: Ponuky vytvorené bez mobilného potvrdenia sú pred zverejnením na trhu Steam Community Market zadržané v escrow až na 15 dní.
1. Obe obchodujúce strany musia mať na svojich účtoch aktivovaný Steam Guard Mobile Authenticator najmenej 7 celých po sebe idúcich dní (168 hodín).
2. Odosielateľ musí schváliť odchádzajúci obchod v sekcii „Potvrdenia“ vo svojej mobilnej aplikácii Steam.
3. Žiadna zo strán nesmie za posledných 7 dní vykonať obnovenie hesla alebo odstránenie autentifikátora.
Mobilné potvrdenia a obrana proti podvodom s kľúčmi API
Aj so zapnutým Steam Guardom hráči často naletia na notoricky známy Steam API Key Scam (phishing s odchytením obchodu). Pochopenie tohto vektora útoku je pre obchodníkov so skinmi nevyhnutné.
Chronológia útoku:
- Získanie prihlasovacích údajov: Obeť navštívi podvodnú stránku na výmenu skinov, turnajový portál alebo web s otváraním debien a prihlási sa cez falošný dialóg „Prihlásiť sa cez Steam“.
- Tiché vytvorenie kľúča Web API: Pomocou získaných relačných cookies bot útočníka nenápadne prejde do vývojárskej konzoly Steamu (
steamcommunity.com/dev/apikey) a zaregistruje API kľúč pod doménou útočníka. - Automatické odchytenie ponuky na obchod: O niekoľko dní neskôr obeť odošle ponuku na výmenu noža v CS2 v hodnote 1 000 $ legitímnemu obchodnému botovi alebo priateľovi.
- Okamžité zrušenie a impersonácia klonom: Server útočníka, ktorý dopytuje Steam Web API každých 500 ms, zaznamená čakajúcu ponuku. Automaticky zruší skutočný obchod, stiahne avatar a profilové meno príjemcu, vytvorí identický profil bota na Steame a odošle obeti identickú ponuku.
- Neopatrné mobilné potvrdenie: Obeť otvorí mobilnú aplikáciu Steam. Vidí známy avatar a nôž a klepne na „Potvrdiť obchod“ bez kontroly dátumu registrácie účtu príjemcu alebo úrovne Steamu. Predmet putuje priamo do inventára útočníka.
- Skontrolujte stránku svojho API kľúča: Prejdite na
https://steamcommunity.com/dev/apikey. Ak nie ste vývojár a vidíte aktívny kľúč, okamžite ho zrušte a zmeňte si heslo na Steame. - Skontrolujte vek účtu v mobile: Pri potvrdzovaní obchodu v aplikácii Steam starostlivo skontrolujte podrobnosti o príjemcovi. Steam zobrazuje presný rok registrácie (napr. „Člen od roku 2017“). Ak sa pri obchode určenom dlhoročnému partnerovi zobrazí „Člen od dnešného dňa“, okamžite ho zrušte.
- Obnovte obchodnú URL (Trade URL): V nastaveniach inventára vygenerujte novú URL adresu obchodnej ponuky, aby ste zneplatnili predtým uniknuté koncové body.
Kryptografická anatómia: Duálna architektúra shared_secret vs. identity_secret
Pod kapotou mobilnej architektúry Valve sa Steam Guard spolieha na dva diskrétne kryptografické kľúče vygenerované počas registrácie a zapečatené v lokálnom úložisku smartfónu:
- shared_secret: Tajný kľúč kódovaný v Base64 používaný výlučne na odvodenie 5-znakových kódov TOTP zobrazovaných na obrazovke zariadenia pri interaktívnom prihlasovaní v desktopovom klientovi a prehliadači.
- identity_secret: Nezávislý kryptografický kľúč používaný na digitálne podpisovanie tokenov HMAC-SHA1 odosielaných na koncové body mobilného potvrdzovacieho API Valve (
/mobileconf/getlista/mobileconf/ajaxop). Tento kľúč autorizuje nezvratné operácie: schvaľovanie odchádzajúcich výmen a vystavovanie cenných predmetov na Steam Community Market.
Mnohí obchodníci s veľkými objemami siahajú po desktopových nástrojoch tretích strán, ako je Steam Desktop Authenticator (SDA), na automatizáciu potvrdení. SDA extrahuje shared_secret aj identity_secret a ukladá ich ako nezašifrované alebo slabo šifrované súbory JSON (.maFile) na lokálny disk Windows.
Tento postup ničí základný axióm bezpečnosti dvojfaktorovej autentifikácie: hardvérovú izoláciu mimo pásma (Out-of-Band - OOB). Keď herný počítač infikuje infostealer (napr. RedLine, Lumma alebo Vidar), cielene skenuje disky a hľadá súbory .maFile. Po ich odcudzení útočník nepotrebuje fyzický prístup k vášmu telefónu; jeho bot načíta vaše tajomstvá, vygeneruje platné prihlasovacie tokeny, zruší vaše skutočné obchody a podpíše nové mobilné potvrdenia, čím vyprázdni celý váš inventár v priebehu niekoľkých minút.
Núdzové odvolanie: Najvyššia moc R-kódu
Pri registrácii do Steam Guard Mobile Authenticator po overení SMS kódu aplikácia zobrazí kód začínajúci písmenom R nasledovaný 5 číslicami (napr. R12345). Toto je váš Odvolávací kód (R-kód / Revocation Code).
Moc a rozsah R-kódu:
Na rozdiel od záložných kódov Google alebo Discordu (ktoré umožňujú jednorazové prihlásenie), R-kód Steamu vás neprihlási. Jeho jedinou architektonickou funkciou je jednostranne odvolať a odpojiť mobilný autentifikátor od vášho účtu.
Ak vám ukradnú telefón, spadne do vody alebo ho stratíte v zahraničí bez roamingu SIM karty, môžete otvoriť akýkoľvek počítačový prehliadač, kliknúť na „Nemám prístup k svojmu Steam Guard Mobile Authenticatoru“, zadať svoj R-kód a autentifikátor sa okamžite odstráni bez SMS výziev alebo mobilných schválení.
Uloženie snímky obrazovky s R-kódom v galérii telefónu marí jeho zmysel: pri strate alebo poškodení telefónu stratíte aj R-kód. Zapíšte si ho na fyzický papier alebo uložte do šifrovaného trezora (1Password, Bitwarden, KeePassXC).
Výmena telefónu: Krok za krokom bez blokovania výmen
Pri kúpe nového zariadenia s iOS alebo Androidom robia mnohí hráči chybu, že najprv odstránia autentifikátor zo starého telefónu, čím vyvolajú prísny 15-dňový zákaz výmen v escrow. Namiesto toho použite oficiálny bezproblémový postup migrácie od spoločnosti Valve:
NEODSTRAŇUJTE autentifikátor na starom telefóne
Ponechajte staré zariadenie nedotknuté. Manuálne odstránenie zníži zabezpečenie účtu na úroveň e-mailového Guardu, čo okamžite vyvolá povinné embargo na výmeny.
Nainštalujte aplikáciu Steam do nového telefónu
Stiahnite si oficiálnu aplikáciu Steam z Apple App Store alebo Google Play Store. Spustite aplikáciu a zadajte svoje používateľské meno a heslo.
Vyberte „Presunúť autentifikátor do tohto zariadenia“
Pri výzve na zadanie kódu kliknite na „Pomoc, už nemám prístup ku kódom z aplikácie Steam Guard Mobile Authenticator“ a zvoľte „Presunúť autentifikátor do tohto zariadenia“.
Potvrďte cez SMS overovací kód
Steam odošle 6-ciferný overovací kód SMS na vaše zaregistrované mobilné číslo. Zadajte tento kód do nového telefónu. Valve prenesie kryptografické kľúče na nové zariadenie a zruší autorizáciu starého telefónu.
✅ Tento migračný postup minimalizuje obmedzenie výmen na minimum (zvyčajne len krátke 2-dňové zadržanie namiesto plného 15-dňového trestu escrow).
Trojúrovňový plán obnovy po havárii
1. úroveň: Strata telefónu, ale telefónne číslo zachované
Získajte náhradnú SIM kartu od svojho mobilného operátora. V počítačovom prehliadači sa prihláste do služby Steam, vyberte „Nemám prístup k svojmu autentifikátoru“ a zvoľte obnovu cez SMS. Zadajte kód na odstránenie starého zariadenia alebo zaregistrovanie nového.
2. úroveň: Strata telefónu aj čísla, ale R-kód je k dispozícii
Prejdite na help.steampowered.com -> „Pomoc, nemôžem sa prihlásiť“ -> „Odstránil alebo stratil som svoj Steam Guard Mobile Authenticator“ -> „Už nemám prístup k tomuto telefónnemu číslu“. Zadajte uložený kód R#####. Steam okamžite zruší prepojenie s autentifikátorom.
3. úroveň: Úplná strata (Bez telefónu, čísla aj R-kódu) — Dôkaz o vlastníctve účtu
Odošlite manuálnu žiadosť podpore spoločnosti Valve. Musíte poskytnúť právne nespochybniteľný Dôkaz o vlastníctve účtu:
- Krabicové CD kľúče hier: Zreteľné fotografie fyzických škatúľ od hier so štítkom CD kľúča vedľa vášho rukou napísaného čísla tiketu podpory.
- Overenie platobnej karty: Meno na karte, fakturačná adresa, vydavateľ karty a posledné 4 číslice použité pri nákupoch na Steame.
- Potvrdenia o platbách tretích strán: Čísla faktúr PayPal alebo čísla transakcií Alipay / WeChat spojené s nákupmi na Steame.
- Fyzické darčekové karty Steam Wallet: Fotografie nezoškriabaných alebo uplatnených fyzických kariet peňaženky Steam.
🛡️ Triáž po kompromitácii: 6-krokový protokol reakcie na incidenty
Ak zaznamenáte podozrivú aktivitu na účte, nezvyčajné výmeny alebo máte podozrenie, že vaše prihlasovacie údaje boli odcudzené, okamžite vykonajte tento časovo kritický kontrolný zoznam:
- Vynútená zmena hesla: Okamžite aktualizujte svoje hlavné heslo Steamu zo zabezpečeného čistého sekundárneho zariadenia alebo smartfónu. Zmena hlavného hesla okamžite ukončí aktívne tokeny relácií v prehliadači.
- Zrušenie autorizácie všetkých aktívnych zariadení: Prejdite do Podrobností o účte Steam -> Spravovať Steam Guard -> kliknite na „Zrušiť autorizáciu všetkých ostatných zariadení“. Tým sa vymažú aktívne cookies relácií vo všetkých desktopových inštaláciách a mobilných aplikáciách.
- Odvolanie kompromitovaného kľúča Web API: Navštívte
steamcommunity.com/dev/apikeya kliknite na „Revoke My Steam Web API Key“, aby ste prerušili napojenie botov útočníka. - Vygenerovanie novej URL adresy obchodných ponúk (Trade URL): V nastaveniach súkromia inventára a obchodných ponúk vygenerujte novú Trade Offer URL na prerušenie automatizovaného sledovania botmi.
- Aktivácia ochrany Steam Family View: Nastavte si 4-miestny PIN kód funkcie Rodinný pohľad (Family View) pokrývajúci prístup k inventáru a výmenám. Aj keď útočník znova získa webové cookies relácie, nemôže prezerať ani vymieňať predmety bez zadania tohto PINu.
- Úplná kontrola a dezinfekcia koncového počítača: Spustite offline antivírusovú kontrolu pomocou programu Windows Defender alebo Malwarebytes na vyčistenie infostealerov predtým, ako službu Steam znova spustíte na svojom hlavnom hernom počítači.
Často kladené otázky (FAQ)
Môžem namiesto telefónu používať desktopový softvér (ako SDA - Steam Desktop Authenticator)? ▼
Hoci open-source nástroje tretích strán ako SDA dokážu extrahovať tajný kľúč Steamu a automatizovať potvrdzovanie výmen, spustenie autentifikátora na rovnakom počítači, ktorý používate na hranie hier a prehliadanie webu, ničí základnú bezpečnostnú hranicu „mimo pásma“ (Out-of-Band). Ak váš počítač napadne infostealer trojan, útočníci získajú súbor databázy SDA a vyprázdnia váš inventár v priebehu niekoľkých sekúnd. Vyhradené fyzické mobilné telefóny zostávajú zlatým štandardom.
Prečo sú moje výmeny po zmene hesla na Steame obmedzené? ▼
Aby Valve zabránilo útočníkovi, ktorý prelomiť alebo uhádol vaše heslo, v okamžitom rozpredaní vášho inventára, uplatňuje po obnovení hesla automatické 2-dňové až 7-dňové pozastavenie výmen. Toto obmedzenie sa po uplynutí doby ochladenia automaticky zruší.
Zabraňuje funkcia Steam Family View prevzatiu účtu? ▼
Funkcia Family View (Rodinný pohľad) poskytuje významnú hĺbkovú ochranu! Požadovaním sekundárneho 4-miestneho PIN kódu na prístup k inventáru, ponukám výmen a funkciám obchodu útočník, ktorý získa prístup k vašej aktívnej webovej relácii, nemôže iniciovať výmeny ani prezerať inventár bez vyriešenia výzvy na zadanie tohto PINu.
Generujte univerzálne 2FA tokeny bezpečne
Chcete generovať štandardné RFC 6238 TOTP tokeny pre svoje herné, cloudové a sociálne účty? Využite 100 % offline kalkulátor 2FA-Tool bežiaci na strane klienta.