Valve-ова платформа Steam није само водећа светска дигитална дистрибутивна платформа за PC игре; она представља основу виртуелне економије вредне више милијарди долара, покретане козметичким предметима којима се може трговати у играма Counter-Strike 2 (CS2), Dota 2 и Team Fortress 2. Будући да виртуелни инвентари представљају ликвидну и заменљиву имовину, налози Steam корисника су стална мета аутоматизованих напада попуњавања акредитива (credential stuffing) и синдиката за фишинг. Steam Guard мобилни аутентификатор истовремено је ваш главни биометријски сеф и неопходна капија за директну размену између корисника (P2P) без кашњења.
Прилагођено Base32 мапирање које искључује самогласнике и двосмислене симболе, временски синхронизовано са серверима компаније Valve.
Мора бити активан 7 узастопних дана (168 сати) како би се откључала тренутна трговина и избегло 15-дневно задржавање размене (escrow).
Приказује се само једном током регистрације. Гарантује тренутно уклањање аутентификатора у случају губитка хардвера.
Архитектура Steam Guard-а: Зашто 5 алфанумеричких карактера?
Корисницима навикнутим на шестоцифрене децималне токене са апликације Google Authenticator или хардверских банкарских токена формат кодова у Steam-у често делује збуњујуће. Steam Guard приказује кодове као што су K8MN2 или R7WXY. Зашто је Valve одступио од стандардног децималног излаза специфицираног у RFC 6238?
1. Власничко мапирање од 26 карактера и уклањање двосмислених симбола
Стандардни RFC 6238 изводи шестоцифрени токен рачунањем 31-битног целог броја из HMAC-SHA1 дајџеста и применом операције mod 10^6. Инжењери компаније Valve успоставили су алтернативну структуру мапирања која користи абецеду од 26 карактера:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Ово мапирање представља значајан инжењерски корак у безбедности прилагођеној корисницима. Уклањањем визуелно двосмислених карактера (као што су цифра 0 и слово O, или цифра 1 и слова I и L), грешке при преписивању се драстично смањују. Што је пресудно, искључивањем свих енглеских самогласника (A, E, I, O, U), овај 5-знаковни стринг не може случајно формирати увредљиве речи на енглеском језику на екрану.
2. Синхронизација времена у реалном времену преко сервиса ITwoFactorService
Традиционални TOTP аутентификатори се у потпуности ослањају на сат оперативног система корисничког паметног телефона. Одступање од само 30 секунди резултира неважећим токенима. Valve то решава тако што Steam мобилна апликација шаље упит крајњој тачки са временском ознаком Valve кластера: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Мобилни клијент израчунава тачан помак у односу на атомски кластер компаније Valve. Чак и ако корисник ручно помери сат свог паметног телефона два сата уназад, Steam Guard генерише математички исправне токене.
| Механизам аутентификације | Формат кода | Временски прозор | Компатибилност са TOTP алатима треће стране | Ослобађање од задржавања размене (Escrow) |
|---|---|---|---|---|
| Steam Guard мобилни аутентификатор | 5 алфанумеричких знакова (M78KQ) | 30 секунди | Власнички (захтева издвајање параметра shared_secret) | ✅ Тренутно (након 7 дана) |
| Steam Guard верификација путем е-поште | 5 алфанумеричких знакова (путем е-поште) | Динамички / једнократни | Некомпатибилно | ❌ Обавезно задржавање од 15 дана |
| Стандардни RFC 6238 (нпр. 2FA-Tool) | 6 децималних цифара (123456) | 30 секунди | Универзални индустријски стандард | Није применљиво на Steam размену |
Заобилажење 15-дневног задржавања размене (Правила Trade Escrow-а)
Пре краја 2015. године, хиљаде корисника Steam-а свакодневно су губили своје виртуелне инвентаре услед фишинга и злонамерног софтвера. Пошто су размене биле тренутне и неповратне, украдени предмети су кроз мреже за прање мењали власнике за неколико сати. Да би уклонио комерцијални мотив за крађу налога, Valve је увео задржавање размене (Trade Holds / Escrow) и задржавање на тржишту заједнице (Market Holds).
Механика активирања и прагови Escrow-а:
- Трговање без мобилног аутентификатора: Ако корисник који шаље предмете нема активан мобилни аутентификатор на свом налогу, предмети који се шаљу биће задржани у Steam escrow систему до 15 дана.
- Изузетак за дугогодишње пријатеље: Ако је прималац размене на вашој Steam листи пријатеља дуже од 1 пуне године, задржавање се смањује на 1 дан.
- Огласи на тржишту заједнице: Огласи креирани без мобилне потврде задржавају се у escrow систему до 15 дана пре него што постану видљиви на Steam Community Market-у.
1. Обе стране у размени морају имати омогућен Steam Guard мобилни аутентификатор на својим налозима најмање 7 пуних узастопних дана (168 сати).
2. Пошиљалац мора одобрити одлазну размену у одељку „Потврде“ (Confirmations) своје мобилне Steam апликације.
3. Ниједна страна не сме имати ресетовање лозинке без верификације нити уклањање аутентификатора у претходних 7 дана.
Мобилне потврде и одбрана од превара са API кључевима
Чак и са омогућеним Steam Guard-ом, гејмери често постају жртве злогласне преваре са Steam API кључевима (Trade Interception Phishing). Разумевање овог вектора напада кључно је за све који тргују скиновима.
Хронологија извођења напада:
- Прикупљање акредитива: Жртва посећује лажну страницу за размену скинова, турнирски портал или сајт за отварање кутија и пријављује се преко лажног дијалога „Sign in through Steam“.
- Тајно генерисање Web API кључа: Користећи прикупљене колачиће сесије, нападачев бот неприметно одлази на Steam развојну конзолу (
steamcommunity.com/dev/apikey) и региструје API кључ везан за домен нападача. - Аутоматизовано пресретање понуда за размену: Неколико дана касније, жртва шаље понуду за размену која садржи CS2 нож вредан 1.000 долара легитимном боту за размену или пријатељу.
- Тренутно отказивање и лажно представљање (клонирање): Нападачев сервер, који шаље упите Steam Web API-ју сваких 500ms, региструје понуду на чекању. Аутоматски отказује аутентичну размену, копира аватар и име профила примаоца, креира идентичан бот профил на Steam-у и шаље идентичну понуду за размену жртви.
- Непажљива потврда на мобилном телефону: Жртва отвара своју Steam мобилну апликацију. Видевши познати аватар и нож, додирује „Потврди размену“ (Confirm Trade) без провере датума креирања налога примаоца или Steam нивоа. Предмет одлази директно у инвентар нападача.
- Проверите страницу својих API кључева: Идите на
https://steamcommunity.com/dev/apikey. Ако нисте програмер а видите активан кључ, одмах га опозовите и промените Steam лозинку. - Проверите старост налога на мобилном телефону: Када потврђујете размену у Steam апликацији, пажљиво прегледајте податке о примаоцу. Steam приказује тачну годину регистрације (нпр. „Члан од 2017.“). Ако се за размену намењену дугогодишњем партнеру прикаже „Члан од данас“, одмах је откажите.
- Ресетујте URL за понуде размене: У подешавањима инвентара генеришите нови Trade URL како бисте учинили неважећим претходно компромитоване крајње тачке.
Криптографска анатомија: Двојна архитектура shared_secret и identity_secret
Испод хаубе архитектуре мобилне апликације компаније Valve, Steam Guard се ослања на два посебна криптографска кључа генерисана током регистрације и запечаћена унутар изоловане локалне меморије паметног телефона:
- shared_secret: Base64 кодирани тајни кључ који се користи искључиво за извођење 5-знаковних TOTP кодова приказаних на екрану уређаја за пријављивање на десктоп клијент и прегледач.
- identity_secret: Независни криптографски кључ који се користи за дигитално потписивање HMAC-SHA1 токена послатих ка Valve-овим API крајњим тачкама за мобилне потврде (
/mobileconf/getlistи/mobileconf/ajaxop). Овај кључ одобрава неповратне операције: одобравање одлазних размена и постављање вредних предмета на Steam Community Market.
Многи корисници који тргују виртуелним предметима у великим количинама користе софтвер отвореног кода трећих страна, као што је Steam Desktop Authenticator (SDA), да би аутоматизовали потврђивање размена. SDA извлачи и shared_secret и identity_secret, чувајући их у виду обичног текста или слабо шифрованих JSON датотека са метаподацима (.maFile) на локалном Windows систему.
Овакав поступак у потпуности руши основни безбедносни аксиом двофакторске аутентификације: хардверску изолацију ван опсега (Out-of-Band - OOB). Када тројанац за крађу података (као што су RedLine, Lumma или Vidar) зарази рачунар за игре, он претражује дискове корисника управо за .maFile артефактима. Када се ови фајлови украду, нападачу није потребан физички приступ вашем телефону; њихова аутоматизована мрежа ботова учитава ваше тајне, генерише важеће токене за пријаву, отказује ваше праве размене и потписује нове мобилне потврде како би распродала цео ваш инвентар за само неколико минута.
Хитан опозив: Врховна моћ R-кода
Када се региструјете за Steam Guard мобилни аутентификатор, након верификације SMS кода, апликација приказује код који почиње словом R иза којег следи 5 цифара (нпр. R12345). То је ваш код за опозив (Revocation Code - R-Code).
Снага и опсег R-кода:
За разлику од резервних кодова на сервисима Google или Discord (који омогућавају једнократну сесију пријаве), Steam-ов R-код вас не пријављује на налог. Његова једина архитектонска функција је да једнострано опозове и уклони мобилни аутентификатор са вашег налога.
Ако вам телефон украду, падне у воду или га изгубите у иностранству где ваша SIM картица нема роминг, можете отворити било који десктоп прегледач, кликнути на „Немам приступ свом Steam Guard мобилном аутентификатору“, унети свој R-код, и аутентификатор ће бити одмах уклоњен без потребе за SMS потврдом или мобилним одобрењима.
Чување снимка екрана са R-кодом у галерији паметног телефона поништава његову сврху: ако телефон изгубите или се поквари, губите и свој R-код. Запишите га на папир или га сачувајте у шифрованом сефу лозинки (1Password, Bitwarden, KeePassXC).
Прелазак на нови телефон: Корак-по-корак миграција без задржавања размене
Када гејмери мењају iPhone или Android уређај, многи праве грешку тако што најпре уклоне аутентификатор на старом телефону, што покреће казнену 15-дневну трговинску блокаду (escrow). Уместо тога, пратите званични Valve поступак за беспрекорну миграцију:
НЕМОЈТЕ уклањати аутентификатор са старог телефона
Оставите стари уређај нетакнутим. Ручно уклањање спушта заштиту налога на е-пошту, што тренутно активира обавезни трговински ембарго.
Инсталирајте Steam апликацију на нови телефон
Преузмите званичну Steam апликацију из продавнице Apple App Store или Google Play Store. Покрените апликацију и унесите своје корисничко име и лозинку.
Изаберите „Премести аутентификатор на овај уређај“
Када се затражи тренутни Steam Guard код, додирните „Помоћ, више немам приступ кодовима свог Steam Guard мобилног аутентификатора“. Затим изаберите „Премести аутентификатор на овај уређај“.
Потврдите путем SMS верификационог кода
Steam шаље шестоцифрени SMS код за верификацију на ваш регистровани број телефона. Унесите овај код на новом телефону. Valve ће пренети криптографске кључеве на ваш нови уређај и деауторизовати стари телефон.
✅ Овај ток миграције своди трговинско чекање на минимум (обично кратко задржавање од 2 дана уместо пуне казне од 15 дана escrow-а).
Трослојни план за опоравак у кризним ситуацијама
Ниво 1: Телефон изгубљен, али број телефона задржан
Набавите заменску SIM картицу од свог мобилног оператера. У десктоп прегледачу пријавите се на Steam, одаберите „Немам приступ свом аутентификатору“ и изаберите SMS опоравак. Унесите код да бисте уклонили стари уређај или подесили нови.
Ниво 2: Телефон и број телефона изгубљени, али је R-код доступан
Идите на help.steampowered.com -> „Помоћ, не могу да се пријавим“ -> „Избрисао сам или изгубио свој Steam Guard мобилни аутентификатор“ -> „Више немам приступ овом броју телефона“. Унесите свој сачувани R##### код. Steam ће одмах прекинути везу са аутентификатором.
Ниво 3: Потпуни губитак (без телефона, броја и R-кода) — Доказ о власништву
Пошаљите захтев за подршку компанији Valve. Морате доставити правно необорив доказ о власништву над налогом:
- CD кључеви игара у малопродаји: Јасне фотографије физичких паковања игара на којима се види налепница са CD кључем поред руком исписаног броја вашег тикета подршке.
- Верификација кредитне картице: Име на картици, адреса за наплату, издавалац картице и последње 4 цифре картице коришћене за куповине на Steam-у.
- Потврде о уплатама трећих страна: PayPal број рачуна (Invoice ID) или бројеви трансакција са сервиса Alipay / WeChat повезани са куповинама на Steam-у.
- Физичке Steam Wallet картице: Фотографије неогребаних или искоришћених физичких картица за допуну Steam новчаника.
🛡️ Поступак након компромитовања: Протокол за одговор на инцидент у 6 корака
Ако приметите сумњиву активност на налогу, необичне размене или сумњате да су вам акредитиви украдени, одмах примените ову критичну контролну листу за сузбијање инцидента:
- Принудна промена лозинке: Одмах промените главну лозинку за Steam са безбедног, чистог другог уређаја или паметног телефона. Промена главне лозинке тренутно поништава све активне сесијске токене у прегледачима.
- Деауторизујте све активне уређаје: Идите на Подаци о налогу на Steam-у -> Управљање Steam Guard-ом -> кликните на „Деауторизуј све остале уређаје“. Ово брише активне колачиће сесије на свим десктоп инсталацијама и мобилним апликацијама.
- Опозовите компромитовани Web API кључ: Посетите
steamcommunity.com/dev/apikeyи кликните на „Опозови мој Steam Web API кључ“ како бисте прекинули све везе хакерских ботова. - Поново генеришите URL за понуде размене: У подешавањима приватности понуда за размену у свом инвентару генеришите нови Trade Offer URL како бисте онемогућили аутоматизовано праћење нападача.
- Активирајте заштиту Steam Family View: Подесите четвороцифрени PIN за Family View који покрива приступ инвентару и трговању. Чак и ако нападач поново прибави колачић веб сесије, неће моћи да види нити да размењује предмете без уноса PIN-а.
- Спроведите потпуну дезинфекцију рачунара: Покрените офлајн скенирање злонамерног софтвера помоћу Windows Defender-а или Malwarebytes-а како бисте уклонили тројанце за крађу података пре поновног покретања Steam-а на свом главном рачунару за игре.
Често постављана питања (FAQ)
Могу ли користити десктоп софтвер (као што је SDA - Steam Desktop Authenticator) уместо телефона? ▼
Иако алати отвореног кода трећих страна попут SDA могу да издвоје вашу Steam тајну и аутоматизују потврђивање размена, покретање аутентификатора на истом рачунару који се користи за игре и прегледање веба уништава фундаменталну безбедносну границу изолације ван опсега (Out-of-Band). Ако ваша радна станица буде заражена тројанцем за крађу података, нападачи преузимају вашу SDA датотеку базе података и празне ваш инвентар у року од неколико секунди. Наменски физички паметни телефони остају златни стандард безбедности.
Зашто су ми размене ограничене након промене Steam лозинке? ▼
Да би се спречило да нападач који пробије или погоди вашу лозинку одмах распрода или пренесе ваш инвентар, Valve аутоматски примењује трговинско задржавање од 2 до 7 дана након ресетовања лозинке. Ограничење се укида аутоматски чим овај период истекне.
Да ли Steam Family View спречава преузимање налога? ▼
Family View пружа изузетно снажну вишеслојну одбрану (defense-in-depth)! Захтевајући секундарни четвороцифрени PIN за приступ инвентару, понудама размене и функцијама продавнице, нападач који стекне приступ вашој активној веб сесији не може покренути размене нити прегледати ваш инвентар док претходно не реши PIN изазов.
Безбедно генеришите универзалне 2FA токене
Желите да генеришете стандардне RFC 6238 TOTP токене за своје налоге за игре, облак и друштвене мреже? Користите 100% офлајн калкулатор алата 2FA-Tool на страни клијента.