Valveova platforma Steam ni le vodilna svetovna platforma za digitalno distribucijo iger za osebne računalnike; podpira večmilijardno virtualno gospodarstvo, ki temelji na kozmetičnih predmetih, s katerimi se trguje v igrah, kot so Counter-Strike 2 (CS2), Dota 2 in Team Fortress 2. Ker virtualni predmeti predstavljajo likvidna sredstva, so uporabniški računi Steam sistematična tarča avtomatiziranih vdorov s polnjenjem poverilnic in ribarjenja. Steam Guard Mobile Authenticator je vaš primarni biometrični trezor in nepogrešljiv prehod do takojšnjega trgovanja med uporabniki brez zakasnitev.
Lastniško preslikavanje Base32 brez samoglasnikov in dvoumnih znakov, časovno sinhronizirano s strežniki družbe Valve.
Za odklepanje takojšnjega trgovanja in preprečitev 15-dnevnega zadržanja escrow mora biti aktiven 7 zaporednih dni (168 ur).
Prikazan le enkrat ob registraciji. Zagotavlja takojšnjo odstranitev avtentikatorja ob izgubi strojne opreme.
Arhitektura Steam Guard: Zakaj 5 alfanumeričnih znakov?
Uporabniki, vajeni 6-mestnih decimalnih žetonov iz Google Authenticatorja ali bančnih strojnih ključkov, se pogosto čudijo formatu žetonov v Steamu. Steam Guard prikazuje kode, kot sta K8MN2 ali R7WXY. Zakaj je Valve odstopil od standardnega decimalnega izhoda RFC 6238?
1. Lastniško 26-znakovno preslikavanje in odprava dvoumnosti znakov
Standard RFC 6238 izpelje 6-mestni žeton z izračunom 31-bitnega celega števila iz zgoščene vrednosti HMAC-SHA1 in izračunom mod 10^6. Inženirji družbe Valve so uvedli alternativno strukturo preslikave z 26-znakovno abecedo:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
To preslikavanje dokazuje vrhunski varnostni inženiring človeškega faktorja. Z odstranitvijo vizualno dvoumnih znakov (kot sta številka 0 proti črki O ter številka 1 proti črkama I in L) se napake pri prepisovanju drastično zmanjšajo. Ključno je, da z izključitvijo vseh angleških samoglasnikov (A, E, I, O, U) 5-znakovni niz na zaslonu ne more pomotoma tvoriti žaljivih angleških besed.
2. Časovna sinhronizacija v realnem času prek ITwoFactorService
Tradicionalni avtentikatorji TOTP se zanašajo izključno na uro operacijskega sistema pametnega telefona. 30-sekundni odmik pomeni neveljavne žetone. Valve to rešuje tako, da mobilna aplikacija Steam poizveduje po končni točki časovnega žiga v gruči strežnikov Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilni odjemalec izračuna natančen odmik glede na atomsko gručo družbe Valve. Tudi če uporabnik ročno prestavi uro na pametnem telefonu za dve uri nazaj, Steam Guard ustvari matematično veljavne žetone.
| Mehanizem za preverjanje pristnosti | Format kode | Časovno okno | Združljivost s TOTP tretjih oseb | Izvzetje iz zadržanja menjav (Escrow) |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 alfanumeričnih znakov (M78KQ) | 30 sekund | Lastniški (zahteva pridobitev shared_secret) | ✅ Takojšnje (po 7 dneh) |
| Preverjanje prek e-pošte Steam Guard | 5 alfanumeričnih znakov (po e-pošti) | Dinamično / enkratno | Nezdružljivo | ❌ Obvezno 15-dnevno zadržanje |
| Standardni RFC 6238 (npr. 2FA-Tool) | 6 decimalnih števk (123456) | 30 sekund | Univerzalni industrijski standard | Se ne uporablja za menjave na Steamu |
Izogibanje 15-dnevnemu zadržanju menjav (Pravilnik o skrbniškem zadržanju)
Pred koncem leta 2015 je bilo tisočem uporabnikov Steama dnevno izpraznjeno premoženje z ribarjenjem in zlonamerno programsko opremo. Ker so bile menjave takojšnje in nepovratne, so ukradeni predmeti v nekaj urah zamenjali več lastnikov prek mrež za pranje premoženja. Da bi odpravil finančno spodbudo za krajo računov, je Valve uvedel zadržanje menjav (Trade Holds / Escrow) in zadržanje na trgu Skupnosti (Market Holds).
Mehanika sprožitve in mejne vrednosti zadržanja:
- Menjava brez mobilnega avtentikatorja: Če uporabnik nima aktivnega mobilnega avtentikatorja, se odstopljeni predmeti zadržijo v skrbništvu Steama do 15 dni.
- Izjema za dolgoletne prijatelje: Če je prejemnik na vašem seznamu prijateljev na Steamu neprekinjeno več kot 1 leto, se zadržanje skrajša na 1 dan.
- Objave na trgu Skupnosti: Predmeti, ponujeni brez mobilne potrditve, se zadržijo do 15 dni, preden postanejo vidni na trgu Steam Community Market.
1. Obe strani morata imeti vklopljen Steam Guard Mobile Authenticator vsaj 7 celih zaporednih dni (168 ur).
2. Pošiljatelj mora odhodno menjavo potrditi v razdelku »Potrditve« v svoji mobilni aplikaciji Steam.
3. Nobena stran v zadnjih 7 dneh ne sme ponastaviti gesla ali odstraniti avtentikatorja.
Mobilne potrditve in obramba pred prevarami s ključi API
Tudi z vklopljenim Steam Guardom igralci pogosto nasedejo razvpiti prevari s ključi Steam API (prestrezanje trgovalnih ponudb). Razumevanje tega vektorja napada je nujno za vse trgovce s preoblekami (skini).
Kronologija napada:
- Zbiranje poverilnic: Žrtev obišče ponarejeno spletno mesto za menjavo preoblek, turnirski portal ali stran za odpiranje zabojev ter se prijavi prek lažnega okna »Sign in through Steam«.
- Tiha registracija spletnega ključa API: Z ukradenimi piškotki seje napadalčev bot tiho odpre razvijalsko konzolo Steam (
steamcommunity.com/dev/apikey) in registrira ključ API pod domeno napadalca. - Samodejno prestrezanje ponudbe za menjavo: Nekaj dni pozneje žrtev pošlje ponudbo z nožem CS2 v vrednosti 1.000 $ legitimnemu botu ali prijatelju.
- Takojšnji preklic in klonirana impersonacija: Napadalčev strežnik, ki vsakih 500 ms pregleduje Steam Web API, zazna čakajočo ponudbo. Samodejno prekliče pravo menjavo, prekopira avatar in profilno ime prejemnika, ustvari identičen profil bota na Steamu ter žrtvi pošlje identično ponudbo.
- Nepremišljena mobilna potrditev: Žrtev odpre mobilno aplikacijo Steam. Ko vidi znani avatar in nož, pritisne »Potrdi menjavo«, ne da bi preverila datum registracije prejemnika ali raven računa Steam. Predmet se prenese naravnost v napadalčev inventar.
- Preverite stran s ključi API: Obiščite
https://steamcommunity.com/dev/apikey. Če niste razvijalec in vidite aktiven ključ, ga takoj prekličite in zamenjajte geslo za Steam. - Preverite starost računa na telefonu: Pri potrjevanju menjave v aplikaciji Steam natančno preglejte podatke o prejemniku. Steam prikaže točno leto registracije (npr. »Član od leta 2017«). Če se pri menjavi, namenjeni dolgoletnemu partnerju, izpiše »Član od danes«, menjavo takoj prekličite.
- Ponastavite URL za menjave (Trade URL): V nastavitvah zasebnosti inventarja ustvarite nov URL za ponudbe menjav, da razveljavite predhodno razkrite končne točke.
Kriptografska anatomija: Dvojna arhitektura shared_secret in identity_secret
V ozadju mobilne arhitekture družbe Valve se Steam Guard zanaša na dva ločena kriptografska ključa, ustvarjena med registracijo in varno shranjena v lokalnem pomnilniku pametnega telefona:
- shared_secret: Skrivni ključ, kodiran v Base64, ki se uporablja izključno za izpeljavo 5-znakovnih kod TOTP, prikazanih na zaslonu vaše naprave za prijavo v namizni odjemalec in brskalnik.
- identity_secret: Neodvisen kriptografski ključ, ki se uporablja za digitalno podpisovanje žetonov HMAC-SHA1, poslanih na končne točke API-ja za mobilno potrjevanje pri Steamu (
/mobileconf/getlistin/mobileconf/ajaxop). Ta ključ avtorizira nepovratne operacije: odobritev odhodnih menjav in objavo dragocenih predmetov na trgu Skupnosti.
Številni trgovci z velikimi količinami predmetov posegajo po odprtokodnih orodjih za namizne računalnike, kot je Steam Desktop Authenticator (SDA). SDA izvozi tako shared_secret kot identity_secret ter ju shrani kot nešifrirane ali slabo zaščitene datoteke JSON (.maFile) na lokalni disk Windows.
Ta praksa uniči temeljni varnostni aksiom dvofaktorskega preverjanja pristnosti: izolacijo strojne opreme izven pasu (Out-of-Band - OOB). Ko igralni računalnik okuži trojanski konj za krajo podatkov (kot so RedLine, Lumma ali Vidar), ciljno poišče datoteke .maFile. Ko jih ukrade, napadalec sploh ne potrebuje fizičnega dostopa do vašega telefona; njegov avtomatizirani bot naloži vaše skrivnosti, ustvari veljavne prijavne žetone, prekliče vaše resnične menjave in podpiše nova mobilna potrdila ter v nekaj minutah izprazni vaš celotni inventar.
Nujni preklic: Vrhovna moč kode R
Ob registraciji v Steam Guard Mobile Authenticator aplikacija po preverjanju kode SMS prikaže kodo, ki se začne s črko R in 5 številkami (npr. R12345). To je vaša koda za preklic (R-koda / Revocation Code).
Moč in obseg kode R:
V nasprotju z rezervnimi kodami pri Googlu ali Discordu (ki omogočajo enkratno prijavo) vas koda R v Steamu ne prijavi. Njena edina funkcija je enostranski preklic in odklop mobilnega avtentikatorja z vašega računa.
Če vam telefon ukradejo, pade v vodo ali ga izgubite v tujini brez gostovanja SIM, lahko v katerem koli namiznem brskalniku kliknete »Nimam dostopa do mobilnega avtentikatorja Steam Guard«, vnesete kodo R in avtentikator se nemudoma odstrani brez kod SMS ali mobilnih potrditev.
Zaslonski posnetek v galeriji telefona izniči njen namen: ob izgubi ali okvari telefona izgubite tudi kodo R. Zapišite jo na papir ali shranite v šifriran trezor gesel (1Password, Bitwarden, KeePassXC).
Zamenjava telefona: Selitev korak za korakom brez zadržanja menjav
Pri nadgradnji naprav iOS ali Android številni igralci naredijo napako in najprej odstranijo avtentikator na starem telefonu, kar sproži neprijetno 15-dnevno skrbniško zadržanje menjav. Namesto tega sledite uradnemu postopku selitve družbe Valve:
NE odstranjujte avtentikatorja na starem telefonu
Pustite staro napravo pri miru. Ročna odstranitev zniža zaščito računa na raven e-poštnega Guarda, kar nemudoma uveljavi obvezno prepoved menjav.
Namestite aplikacijo Steam na nov telefon
Prenesite uradno aplikacijo Steam iz trgovine Apple App Store ali Google Play Store. Zaženite aplikacijo ter vnesite svoje uporabniško ime in geslo.
Izberite »Premakni avtentikator v to napravo«
Ko se prikaže poziv za vnos trenutne kode Steam Guard, tapnite »Pomoč, nimam več dostopa do kod mobilnega avtentikatorja Steam Guard«. Nato izberite »Premakni avtentikator v to napravo«.
Potrdite prek preveritvene kode SMS
Steam pošlje 6-mestno kodo SMS na vašo registrirano telefonsko številko. To kodo vnesite v nov telefon. Valve prenese kriptografske ključe na novo napravo in prekliče pooblastila starega telefona.
✅ Ta postopek ohranja omejitve menjav na minimumu (običajno le kratko 2-dnevno zadržanje namesto polne 15-dnevne kazni escrow).
Tri-stopenjski načrt za obnovitev po nesreči
1. raven: Izguba telefona, vendar ohranjena telefonska številka
Pri svojem mobilnem operaterju pridobite nadomestno kartico SIM. V namiznem brskalniku se prijavite v Steam, izberite »Nimam dostopa do svojega avtentikatorja« in izberite obnovitev prek sporočila SMS. Vnesite kodo, da odstranite staro napravo ali registrirate novo.
2. raven: Izguba telefona in številke, vendar je na voljo koda R
Pojdite na help.steampowered.com -> »Pomoč, ne morem se prijaviti« -> »Izbrisal ali izgubil sem mobilni avtentikator Steam Guard« -> »Nimam več dostopa do te telefonske številke«. Vnesite shranjeno kodo R#####. Steam takoj prekliče povezavo z avtentikatorjem.
3. raven: Popolna izguba (brez telefona, številke in kode R) — Dokazilo o lastništvu računa
Pošljite ročni zahtevek podpori družbe Valve. Predložiti morate pravno veljavno dokazilo o lastništvu računa:
- Ključi CD za igre v maloprodaji: Jasne fotografije fizičnih škatel iger z nalepko ključa CD poleg ročno napisane referenčne številke vašega zahtevka za podporo.
- Preverjanje plačilne kartice: Ime na kartici, naslov za izstavitev računa, izdajatelj kartice in zadnje 4 številke, uporabljene za nakupe v Steamu.
- Potrdila o plačilih tretjih oseb: Številke računov PayPal ali številke transakcij Alipay / WeChat, povezane z nakupi v Steamu.
- Fizične darilne kartice Steam Wallet: Fotografije nepopraskanih ali unovčenih fizičnih kartic denarnice Steam.
🛡️ Ukrepi po vdoru: 6-stopenjski protokol za odziv na incidente
Če zaznate sumljivo dejavnost na računu, nenavadne menjave ali sumite, da so bila vaša gesla ukradena, nemudoma izvedite ta časovno kritični kontrolni seznam:
- Prisilna zamenjava gesla: Takoj posodobite glavno geslo za Steam z varne, čiste sekundarne naprave ali pametnega telefona. Sprememba glavnega gesla takoj prekine žetone aktivnih sej v brskalniku.
- Preklic pooblastil za vse aktivne naprave: Odprite Podrobnosti o računu Steam -> Upravljanje Steam Guard -> kliknite »Prekliči pooblastila vseh drugih naprav«. S tem se izbrišejo piškotki aktivnih sej v vseh namiznih namestitvah in mobilnih aplikacijah.
- Preklic ogroženega spletnega ključa API: Obiščite
steamcommunity.com/dev/apikeyin kliknite »Revoke My Steam Web API Key«, da prekinete povezave z napadalčevimi boti. - Ponovno ustvarjanje URL-ja za ponudbe menjav (Trade URL): V nastavitvah zasebnosti ponudb za menjavo v inventarju ustvarite nov URL za ponudbe menjav, da prekinete samodejno sledenje.
- Vklop zaščite Steam Family View: Nastavite 4-mestno kodo PIN za družinski pogled (Family View), ki zajema dostop do inventarja in trgovanja. Tudi če napadalec znova pridobi piškotek spletne seje, ne more pregledovati ali menjati predmetov brez vnosa kode PIN.
- Popolno čiščenje končne točke: Zaženite pregled zlonamerne programske opreme brez povezave z orodjem Windows Defender ali Malwarebytes, da odstranite trojance, preden znova zaženete Steam na svojem primarnem računalniku.
Pogosta vprašanja (FAQ)
Ali lahko namesto telefona uporabljam namizno programsko opremo (kot je SDA - Steam Desktop Authenticator)? ▼
Čeprav odprtokodna orodja tretjih oseb, kot je SDA, lahko izvozijo skrivni ključ Steam in avtomatizirajo potrjevanje menjav, uporaba avtentikatorja na istem računalniku, ki ga uporabljate za igranje iger in brskanje po spletu, uniči temeljno varnostno mejo »izven pasu« (Out-of-Band). Če vaš računalnik okuži trojanski konj za krajo podatkov, napadalci pridobijo datoteko baze podatkov SDA in v nekaj sekundah izpraznijo vaš inventar. Namenski fizični pametni telefoni ostajajo zlati standard.
Zakaj so moje menjave po spremembi gesla za Steam omejene? ▼
Da bi napadalcu, ki razbije ali ugane vaše geslo, preprečil takojšnjo razprodajo vašega inventarja, Valve uveljavi samodejno 2- do 7-dnevno začasno ustavitev menjav po ponastavitvi gesla. Omejitev se samodejno odpravi po preteku obdobja mirovanja.
Ali funkcija Steam Family View preprečuje prevzem računa? ▼
Družinski pogled (Family View) zagotavlja pomembno večplastno obrambo! Ker za dostop do inventarja, ponudb menjav in funkcij trgovine zahteva sekundarno 4-mestno kodo PIN, napadalec, ki pridobi dostop do vaše aktivne spletne seje, ne more sprožiti menjav ali pregledovati vašega inventarja brez predhodnega vnosa kode PIN.
Varno ustvarite univerzalne žetone 2FA
Želite ustvariti standardne žetone RFC 6238 TOTP za svoje igralne, oblačne in družbene račune? Uporabite 100 % kalkulator 2FA-Tool brez povezave, ki deluje na strani odjemalca.