Valves Steam-plattform är inte enbart världens ledande digitala distributionsplattform för PC-spel; den bär upp en virtuell mångmiljardekonomi som drivs av bytesbara kosmetiska föremål i Counter-Strike 2 (CS2), Dota 2 och Team Fortress 2. Eftersom virtuella inventarier utgör likvida, överförbara tillgångar attackeras Steam-konton systematiskt av automatiserade skript för lösenordstestning (credential stuffing) och nätfiske. Steam Guard Mobilautentisering fungerar både som ditt primära biometriska valv och den nödvändiga förutsättningen för direkta byten mellan spelare utan fördröjning.
Anpassad Base32-mappning som utesluter vokaler och tvetydiga tecken, tidssynkroniserad med Valves servrar.
Måste vara aktiv i 7 sammanhängande dygn (168 timmar) för att låsa upp direkt handel och undvika 15 dagars escrow-fördröjning.
Visas endast en enda gång vid aktivering. Garanterar omedelbart borttagande av autentiseraren om hårdvaran förloras.
Steam Guard-arkitektur: Varför 5 alfanumeriska tecken?
Användare som är vana vid 6-siffriga decimala koder från Google Authenticator eller hårdvarudosor för bankinloggning blir ofta förvånade över Steams format. Steam Guard visar koder som K8MN2 eller R7WXY. Varför frångick Valve standardiserade RFC 6238-decimaler?
1. Eget 26-teckens alfabet och eliminering av tvetydiga tecken
Standardiserad RFC 6238 härleder en 6-siffrig kod genom att beräkna ett 31-bitars heltal från HMAC-SHA1-sammandraget och tillämpa mod 10^6. Valves ingenjörer konstruerade istället en alternativ mappningsstruktur baserad på ett alfabet med 26 tecken:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Denna mappning demonstrerar genomtänkt säkerhetsdesign med hänsyn till mänskliga faktorer. Genom att eliminera visuellt tvetydiga tecken (såsom siffran 0 jämfört med bokstaven O, samt siffran 1 jämfört med bokstäverna I och L) minskar avläsningsfelen markant. Framför allt, genom att exkludera alla engelska vokaler (A, E, I, O, U), kan den 5 tecken långa koden aldrig oavsiktligt bilda olämpliga eller stötande ord på skärmen.
2. Tidssynkronisering i realtid via ITwoFactorService
Traditionella TOTP-autentiserare förlitar sig uteslutande på klockan i mobiltelefonens operativsystem. En avvikelse på bara 30 sekunder leder till ogiltiga koder. Valve löser detta genom att låta Steam Mobile-appen anropa tidsserverns ändpunkt i Valves serverkluster: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
Mobilklienten beräknar den exakta tidsförskjutningen gentemot Valves atomur. Även om användaren manuellt ställer tillbaka mobilklockan med två timmar fortsätter Steam Guard att generera matematiskt korrekta koder.
| Autentiseringsmetod | Kodformat | Tidsintervall | Stöd för tredjeparts-TOTP | Handelsfördröjning (Escrow) |
|---|---|---|---|---|
| Steam Guard Mobilautentisering | 5 alfanumeriska tecken (M78KQ) | 30 sekunder | Proprietär (Kräver extrahering av shared_secret) | ✅ Direkt (Efter 7 dagar) |
| Steam Guard e-postvalidering | 5 alfanumeriska tecken (via e-post) | Dynamisk / Engångskod | Inkompatibel | ❌ Obligatorisk 15 dagars fördröjning |
| Standard RFC 6238 (t.ex. 2FA-Tool) | 6 decimala siffror (123456) | 30 sekunder | Universell branschstandard | Ej tillämpligt på Steam-byten |
Kringgå 15 dagars handelsfördröjning (Trade Escrow Policy)
Före slutet av 2015 tömdes tusentals Steam-användares virtuella förråd dagligen via nätfiske och skadlig kod. Eftersom byten skedde omedelbart och inte kunde ångras slussades stulna föremål genom organiserade tvättligor inom loppet av några timmar. För att eliminera de ekonomiska drivkrafterna bakom kontostölder införde Valve Handelsfördröjningar (Trade Holds / Escrow) samt Marknadsfördröjningar (Market Holds).
Mekanismer och villkor för spärrtider:
- Handel utan mobilautentiserare: Om den användare som skickar föremål saknar en aktiv mobilautentiserare på sitt konto hålls föremålen i säkert förvar (escrow) av Steam i upp till 15 dagar.
- Undantag för långvariga vänner: Om mottagaren har funnits på din Steam-vänlista i mer än 1 sammanhängande år förkortas fördröjningen till 1 dag.
- Annonser på Gemenskapsmarknaden: Annonser som skapas utan mobilbekräftelse hålls i förvar i upp till 15 dagar innan de syns offentligt på Steam Community Market.
1. Båda parter i bytet måste ha haft Steam Guard Mobilautentisering aktiverat på sina konton i minst 7 hela sammanhängande dygn (168 timmar).
2. Avsändaren måste godkänna det utgående bytet under fliken "Bekräftelser" i Steam-mobilappen.
3. Ingen av parterna får ha återställt sitt lösenord eller tagit bort autentiseraren under de senaste 7 dagarna.
Mobilbekräftelser & skydd mot bedrägerier med API-nycklar
Även med Steam Guard aktiverat drabbas spelare frekvent av det ökända bedrägeriet med Steam API-nycklar (Trade Interception Phishing). Att förstå denna attackvektor är avgörande för alla som handlar med skins och föremål.
Kronologi för attackens genomförande:
- Insamling av inloggningsuppgifter: Offret besöker en förfalskad skin-bytessajt, turneringsportal eller lådöppningssida och loggar in via en falsk "Logga in via Steam"-dialog.
- Dold skapelse av Web API-nyckel: Med hjälp av de stulna sessionskakorna navigerar angriparens bot i bakgrunden till Steams utvecklarkonsol (
steamcommunity.com/dev/apikey) och registrerar en API-nyckel under angriparens egen domän. - Automatisk bevakning av byteserbjudanden: Några dagar senare skickar offret ett genuint byteserbjudande med en värdefull kniv i CS2 till en legitim bytesbot eller en personlig vän.
- Omedelbar avbrytning & kloning av profil: Angriparens server, som pollar Steams Web API var 500:e millisekund, upptäcker det väntande bytet. Den avbryter blixtsnabbt det äkta byteserbjudandet, kopierar mottagarens profilbild och namn, skapar en identisk botprofil på Steam och skickar ett nytt identiskt byteserbjudande till offret.
- Ovarsam mobilbekräftelse: Offret öppnar sin Steam-mobilapp. När offret ser den bekanta avataren och sitt föremål trycker hen på "Bekräfta byte" utan att kontrollera mottagarkontots registreringsdatum eller Steam-nivå. Föremålet överförs därmed direkt till bedragarens lager.
- Granska din API-nyckelsida: Gå till
https://steamcommunity.com/dev/apikey. Om du inte är utvecklare och ser en aktiv nyckel, återkalla den omedelbart och ändra ditt Steam-lösenord. - Kontrollera kontots ålder på mobilen: När du bekräftar ett byte i mobilappen ska du noggrant granska mottagarens profilinformation. Steam visar exakt registreringsår (t.ex. "Medlem sedan 2017"). Om ett byte avsett för en gammal vän plötsligt anger "Medlem sedan idag", avbryt omedelbart.
- Återställ din bytes-URL: Generera en ny bytes-URL i dina lagerinställningar för att göra tidigare läckta länkar obrukbara.
Kryptografisk anatomi: Dubbel arkitektur med shared_secret och identity_secret
Under huven i mobilappen bygger Steam Guard på två separata kryptografiska nycklar som genereras under registreringen och isoleras i mobilens säkra lokala lagringsutrymme:
- shared_secret: En Base64-kodad hemlig nyckel som uteslutande används för att härleda de 5-siffriga TOTP-koder som visas på skärmen för inloggningar på dator och webbläsare.
- identity_secret: En oberoende kryptografisk nyckel som används för att digitalt signera HMAC-SHA1-tokens som skickas till Steams mobilbekräftelse-API (
/mobileconf/getlistoch/mobileconf/ajaxop). Denna nyckel godkänner oåterkalleliga åtgärder: att bekräfta utgående byten och att publicera värdefulla inventarier på Steam Community Market.
Många handlare med stora volymer använder tredjepartsprogram med öppen källkod på datorn, såsom Steam Desktop Authenticator (SDA), för att automatisera bekräftelser. SDA extraherar både shared_secret och identity_secret och sparar dem som ren text eller svagt krypterade JSON-metadatafiler (.maFile) på användarens lokala Windows-hårddisk.
Detta arbetssätt raserar grundprincipen för tvåfaktorsautentisering: hårdvaruoberoende isolering (Out-of-Band / OOB). När en informationsstjälande trojan (såsom RedLine, Lumma eller Vidar) infekterar en speldator söker den specifikt igenom diskarna efter .maFile-filer. När dessa filer stulits behöver angriparen inte ens tillgång till din telefon: deras automatiserade botnät läser in nycklarna, genererar giltiga koder, avbryter dina pågående byten och signerar nya mobilbekräftelser för att tömma hela ditt lager på några minuter.
Nödåterkallande: Den överordnade makten hos R-koden
När du aktiverar Steam Guard Mobilautentisering och har verifierat ditt SMS-nummer visas en kod som inleds med bokstaven R följt av 5 siffror (t.ex. R12345). Detta är din Återkallningskod (R-kod / Revocation Code).
R-kodens räckvidd och funktion:
Till skillnad från reservkoder hos Google eller Discord (som ger engångsinloggningar) kan Steams R-kod inte användas för att logga in. Dess enda arkitektoniska uppgift är att ensidigt återkalla och koppla bort mobilautentiseraren från ditt konto.
Om din telefon blir stulen, tappas i vatten eller försvinner utomlands utan roaming kan du öppna valfri webbläsare på datorn, klicka på "Jag har inte tillgång till mina koder", mata in din R-kod och omedelbart avlägsna autentiseraren utan krav på SMS eller mobilgodkännande.
Att spara en skärmdump av din R-kod i telefonens bildgalleri förfelar hela syftet: om telefonen tappas bort eller går sönder försvinner även din R-kod. Skriv ner den på papper eller spara den i ett krypterat lösenordsvalv (1Password, Bitwarden, KeePassXC).
Uppgradera telefon: Steg-för-steg-migrering utan handelsspärrar
När spelare uppgraderar sin iPhone eller Android-enhet gör många misstaget att först ta bort autentiseraren på den gamla telefonen. Detta utlöser en kännbar 15 dagars handelsspärr. Följ istället Valves officiella, sömlösa migreringsprocess:
Ta INTE bort autentiseraren på den gamla telefonen
Låt den gamla enheten vara orörd. Manuell borttagning sänker kontoskyddet till e-postnivå och aktiverar omedelbart ett obligatoriskt handelsembargo.
Installera Steam-appen på den nya mobilen
Ladda ner den officiella Steam-appen från Apple App Store eller Google Play Store. Öppna appen och ange ditt användarnamn och lösenord.
Välj "Flytta autentiseraren till den här enheten"
När du uppmanas att ange aktuell Steam Guard-kod trycker du på "Hjälp, jag har inte längre tillgång till mina koder". Välj därefter "Flytta autentiseraren till den här enheten".
Bekräfta med SMS-verifieringskod
Steam skickar en 6-siffrig SMS-kod till ditt registrerade mobilnummer. Ange koden på den nya telefonen. Valve överför de kryptografiska nycklarna till den nya enheten och kopplar bort den gamla mobilen.
✅ Denna migreringsväg minimerar handelspausen till ett minimum (vanligtvis en kortare spärr på 2 dagar istället för hela 15 dagars escrow-period).
Återställningsplan i tre nivåer vid haveri
Nivå 1: Telefonen förlorad, men telefonnumret behållet
Beställ ett ersättnings-SIM-kort från din mobiloperatör. Logga in på Steam i en webbläsare på datorn, välj "Jag har inte tillgång till min autentiserare" och välj återställning via SMS. Ange koden för att koppla bort den gamla enheten eller registrera en ny.
Nivå 2: Telefon & telefonnummer förlorade, men R-koden tillgänglig
Gå till help.steampowered.com -> "Hjälp, jag kan inte logga in" -> "Jag raderade eller förlorade min Steam Guard Mobilautentisering" -> "Jag har inte längre tillgång till detta telefonnummer". Ange din sparade R#####-kod. Steam tar omedelbart bort kopplingen till mobilautentiseraren.
Nivå 3: Total förlust (Ingen telefon, inget nummer, ingen R-kod) — Ägarbevis
Skicka ett manuellt supportärende till Valve. Du måste bifoga juridiskt hållbara bevis på kontoägarskap:
- Fysiska CD-nycklar för spel: Tydliga foton på fysiska spelförpackningar med CD-nyckeletiketten bredvid ditt handskrivna ärendenummer.
- Kreditkortsverifiering: Namn på kortet, faktureringsadress, kortutgivare och de fyra sista siffrorna i kortnumret som använts för köp på Steam.
- Kvitton från tredjepartsbetalningar: Faktura-ID från PayPal eller transaktionsnummer från andra betaltjänster kopplade till dina köp.
- Fysiska Steam Wallet-värdekoder: Tydliga fotografier på skrapade eller använda fysiska presentkort för Steam Wallet.
🛡️ Åtgärder efter intrång: Protokoll för incidenthantering i 6 steg
Om du upptäcker misstänkt kontoaktivitet, okända byten eller misstänker att dina inloggningsuppgifter har läckt ska du omedelbart genomföra denna checklista:
- Tvinga lösenordsbyte: Byt ditt Steam-huvudlösenord omedelbart från en säker och ren sekundär dator eller mobil. Lösenordsbytet ogiltigförklarar omedelbart aktiva webbsessionstokens.
- Avauktorisera alla aktiva enheter: Gå till Kontodetaljer i Steam -> Hantera Steam Guard -> klicka på "Avauktorisera alla andra enheter". Detta rensar sessionskakor på alla datorer och mobilappar.
- Återkalla komprometterad Web API-nyckel: Gå till
steamcommunity.com/dev/apikeyoch klicka på "Återkalla min Steam Web API-nyckel" för att bryta angriparens bot-kopplingar. - Generera ny bytes-URL: I sekretessinställningarna för byteserbjudanden genererar du en ny bytes-URL för att bryta automatisk spårning från spionprogram.
- Aktivera familjevy (Steam Family View): Konfigurera en 4-siffrig PIN-kod för familjevy som begränsar åtkomst till lager och bytesfunktioner. Även om en angripare kommer över en aktiv webbsessionskaka kan hen inte se eller handla med föremål utan PIN-koden.
- Genomför en fullständig virussökning: Gör en offline-skanning med Windows Defender eller Malwarebytes för att rensa eventuella infostealers innan du öppnar Steam på din huvuddator igen.
Vanliga frågor och svar (FAQ)
Kan jag använda program på datorn (som SDA - Steam Desktop Authenticator) istället för en telefon? ▼
Även om tredjepartsverktyg med öppen källkod som SDA kan extrahera din hemliga Steam-nyckel och automatisera bekräftelser, raderar körning av autentiseraren på samma PC som används för spel och surf hela säkerhetsbarriären för fristående tvåfaktor ("Out-of-Band"). Om din dator drabbas av en informationsstjälande trojan kan angriparen stjäla din SDA-databasfil och tömma ditt lager på sekunder. Dedikerade fysiska mobiltelefoner förblir den gyllene säkerhetsstandarden.
Varför är mina byten blockerade efter att jag bytt lösenord på Steam? ▼
För att förhindra att en angripare som knäcker eller gissar ditt lösenord omedelbart för över dina föremål till ett annat konto tillämpar Valve en automatisk bytesfördröjning på 2 till 7 dagar efter lösenordsbyten. Begränsningen hävs automatiskt så snart vänteperioden har löpt ut.
Förhindrar Steams familjevy kontokapningar? ▼
Familjevy ger ett mycket starkt extra försvar i djupled! Genom att kräva en sekundär 4-siffrig PIN-kod för att komma åt inventarier, byteserbjudanden och butiksfunktioner kan en angripare som lyckas stjäla en aktiv webbsession varken initiera byten eller inspektera dina föremål utan att först knäcka PIN-koden.
Generera universella 2FA-koder säkert
Vill du generera standardiserade RFC 6238 TOTP-koder för dina gaming-, moln- och sociala mediekonton? Använd 2FA-Tools 100 % offline, klientsidiga kalkylator.