Valve'ın Steam platformu yalnızca PC oyunculuğunda dünyanın önde gelen dijital dağıtım platformu olmakla kalmaz; Counter-Strike 2 (CS2), Dota 2 ve Team Fortress 2 genelinde takas edilebilir kozmetik öğelerle desteklenen milyarlarca dolarlık sanal bir ekonomiyi yönetir. Sanal envanterler likit, takas edilebilir varlıkları temsil ettiğinden, Steam kullanıcı hesapları otomatik kimlik bilgisi doldurma (credential stuffing) ve oltalama (phishing) şebekeleri tarafından sistematik olarak hedef alınır. Steam Guard Mobil Kimlik Doğrulayıcı, hem birincil biyometrik kasanız hem de sıfır gecikmeli eşler arası (P2P) takasın vazgeçilmez kapısıdır.
Sesli harfleri ve belirsiz karakterleri hariç tutan, Valve sunucularıyla zaman senkronlu özel Base32 eşlemesi.
Anında takasın kilidini açmak ve 15 günlük emanet (escrow) bekletmelerini önlemek için art arda 7 gün (168 saat) aktif olmalıdır.
Kayıt sırasında yalnızca bir kez gösterilir. Donanım kaybolursa kimlik doğrulayıcının anında kaldırılmasını garanti eder.
Steam Guard Mimarisi: Neden 5 Alfasayısal Karakter?
Google Authenticator veya donanım bankacılık cihazlarındaki 6 haneli ondalık belirteçlere alışkın kullanıcılar Steam'in belirteç biçimini şaşırtıcı bulabilir. Steam Guard K8MN2 veya R7WXY gibi kodlar görüntüler. Valve standart RFC 6238 ondalık çıktısından neden ayrıldı?
1. Özel 26 Karakterli Eşleme ve Karakter Belirsizliğini Giderme
Standart RFC 6238, HMAC-SHA1 özetinden 31 bitlik bir tamsayı hesaplayıp mod 10^6 işlemi yaparak 6 haneli bir belirteç türetir. Valve mühendisleri 26 karakterli bir alfabe kullanan alternatif bir eşleme yapısı oluşturdu:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Bu eşleme dikkat çekici bir insan faktörü güvenlik mühendisliğini ortaya koyar. Görsel olarak belirsiz karakterlerin kaldırılmasıyla (örneğin rakam 0 ile harf O, ve rakam 1 ile harfler I ve L), yazım hataları önemli ölçüde azalır. En önemlisi, tüm İngilizce sesli harflerin (A, E, I, O, U) hariç tutulması sayesinde bu 5 karakterlik dize ekranda kazara uygunsuz İngilizce kelimeler oluşturamaz.
2. ITwoFactorService ile Gerçek Zamanlı Zaman Senkronizasyonu
Geleneksel TOTP doğrulayıcıları yalnızca istemci akıllı telefonun işletim sistemi saatine güvenir. 30 saniyelik bir sapma bile geçersiz belirteçlere yol açar. Valve, Steam Mobil Uygulamasının Valve'ın küme zaman damgası uç noktasını (api.steampowered.com/ITwoFactorService/QueryTime/v0001) sorgulamasını sağlayarak bu sorunu çözer.
Mobil istemci, Valve'ın atomik kümesine göre kesin sapmayı hesaplar. Kullanıcı akıllı telefon saatini manuel olarak iki saat geri alsa bile, Steam Guard matematiksel olarak geçerli belirteçler üretmeye devam eder.
| Kimlik Doğrulama Mekanizması | Kod Biçimi | Süre Penceresi | Üçüncü Taraf TOTP Uyumluluğu | Takas Emaneti (Escrow) Muafiyeti |
|---|---|---|---|---|
| Steam Guard Mobil Kimlik Doğrulayıcı | 5 Alfasayısal (M78KQ) | 30 Saniye | Özel (shared_secret çıkartılması gerekir) | ✅ Anında (7 gün sonra) |
| Steam Guard E-posta Doğrulaması | 5 Alfasayısal (E-posta ile) | Dinamik / Tek Seferlik | Uyumsuz | ❌ Zorunlu 15 Gün Bekletme |
| Standart RFC 6238 (ör. 2FA-Tool) | 6 Ondalık Basamak (123456) | 30 Saniye | Evrensel Endüstri Standardı | Steam Takası İçin Geçerli Değil |
15 Günlük Takas Bekletmelerini (Takas Emanet Politikası) Aşma
2015 sonlarından önce binlerce Steam kullanıcısının sanal envanteri oltalama ve kötü amaçlı yazılımlarla her gün boşaltılıyordu. Takaslar anlık ve geri alınamaz olduğundan, çalınan öğeler birkaç saat içinde aklama çeteleri aracılığıyla el değiştiriyordu. Hesap hırsızlığının ticari teşvikini ortadan kaldırmak için Valve, Takas Bekletmeleri (Escrow) ve Pazar Bekletmeleri sistemini getirdi.
Emanet Tetikleme Mekanizmaları ve Eşikleri:
- Mobil Doğrulayıcı Olmadan Takas: Takas yapan kullanıcının hesabında aktif bir Mobil Doğrulayıcı yoksa, takas edilen öğeler Steam tarafından 15 güne kadar emanette (escrow) bekletilir.
- Uzun Süreli Arkadaşlar İstisnası: Takas alıcısı Steam Arkadaşlar listenizde kesintisiz 1 yıldan uzun süredir yer alıyorsa bekletme süresi 1 güne indirilir.
- Topluluk Pazarı İlanları: Mobil onay olmadan oluşturulan ilanlar, Steam Topluluk Pazarında görünür hale gelmeden önce 15 güne kadar emanette tecrit edilir.
1. Her iki takas tarafının da hesaplarında Steam Guard Mobil Kimlik Doğrulayıcısını en az 7 kesintisiz tam gün (168 saat) boyunca etkinleştirmiş olması gerekir.
2. Gönderen taraf, giden takası mobil Steam uygulamasındaki "Confirmations" (Onaylar) bölümünden onaylamalıdır.
3. Hiçbir taraf önceki 7 gün içinde bağlantısız bir şifre sıfırlama veya doğrulayıcı kaldırma işlemi gerçekleştirmemiş olmalıdır.
Mobil Onaylar ve API Anahtarı Dolandırıcılığı Koruması
Steam Guard devrede olsa bile oyuncular sıklıkla kötü şöhretli Steam API Anahtarı Dolandırıcılığına (Takas Araya Girme Oltalaması) kurban gitmektedir. Bu saldırı vektörünü anlamak skin tüccarları için hayati önem taşır.
Saldırı Yürütme Kronolojisi:
- Kimlik Bilgisi Toplama: Mağdur sahte bir skin takas, turnuva veya kasa açma sitesini ziyaret eder ve sahte bir "Sign in through Steam" iletişim kutusu aracılığıyla kimlik doğrulaması yapar.
- Sessiz Web API Anahtarı Oluşturma: Toplanan oturum çerezlerini kullanan saldırganın botu, sessizce Steam geliştirici konsoluna (
steamcommunity.com/dev/apikey) gider ve saldırganın alan adı altında bir API Anahtarı kaydeder. - Otomatik Takas Teklifi Engelleme: Günler sonra mağdur meşru bir takas botuna veya arkadaşına 1.000$ değerinde bir CS2 bıçağı içeren bir takas teklifi gönderir.
- Anında İptal ve Klon Taklit: Steam Web API'sini her 500 ms'de bir sorgulayan saldırgan sunucusu bekleyen teklifi tespit eder. Gerçek takası otomatik olarak iptal eder, alıcının avatarını ve profil adını kopyalar, Steam üzerinde özdeş bir bot profili oluşturur ve mağdura aynı teklifi yeniden gönderir.
- Dikkatsiz Mobil Onay: Mağdur Steam mobil uygulamasını açar. Tanıdık avatarı ve bıçağı görünce alıcının hesap oluşturma tarihini veya Steam Seviyesini kontrol etmeden "Confirm Trade"e dokunur. Öğe doğrudan saldırganın envanterine geçer.
- API Anahtarı Sayfanızı Denetleyin:
https://steamcommunity.com/dev/apikeyadresine gidin. Geliştirici değilseniz ve aktif bir anahtar görüyorsanız, derhal iptal edin (Revoke) ve Steam şifrenizi değiştirin. - Mobilde Hesap Yaşını İnceleyin: Steam uygulamasında bir takası onaylarken alıcı ayrıntılarını dikkatle inceleyin. Steam tam kayıt yılını gösterir (ör. "Member since 2017"). Uzun süreli bir ortak için planlanan bir takas "Member since today" gösteriyorsa derhal iptal edin.
- Takas URL'sini Sıfırlayın: Envanter ayarlarınızda, daha önce sızdırılmış uç noktaları geçersiz kılmak için yeni bir takas teklifi URL'si oluşturun.
Kriptografik Anatomi: shared_secret ve identity_secret İkili Mimarisi
Valve'ın mobil uygulama mimarisinin altında Steam Guard, kayıt sırasında oluşturulan ve akıllı telefonun yalıtılmış yerel depolama alanına mühürlenen iki bağımsız kriptografik anahtara dayanır:
- shared_secret: Etkileşimli masaüstü istemcisi ve tarayıcı girişleri için cihaz ekranınızda görüntülenen 5 karakterli TOTP kodlarını türetmek amacıyla kullanılan Base64 kodlu gizli anahtar.
- identity_secret: Valve'ın mobil onay API uç noktalarına (
/mobileconf/getlistve/mobileconf/ajaxop) gönderilen HMAC-SHA1 belirteçlerini dijital olarak imzalamak için kullanılan bağımsız kriptografik anahtar. Bu anahtar geri alınamaz işlemleri yetkilendirir: giden takasları onaylama ve Steam Topluluk Pazarında değerli varlıkları listeleme.
Yüksek hacimli takas yapan birçok kullanıcı takas onaylarını otomatikleştirmek için Steam Desktop Authenticator (SDA) gibi üçüncü taraf açık kaynak masaüstü araçlarına yönelir. SDA hem shared_secret hem de identity_secret anahtarlarını çıkararak kullanıcının yerel Windows dosya sisteminde düz metin veya zayıf şifrelenmiş JSON meta veri dosyaları (.maFile) olarak kaydeder.
Bu iş akışı, iki faktörlü kimlik doğrulamanın temel güvenlik ilkesi olan Bant Dışı (Out-of-Band - OOB) donanım yalıtımını tamamen yok eder. Bir bilgi hırsızı truva atı (RedLine, Lumma veya Vidar gibi) bir oyun bilgisayarına bulaştığında, özellikle kullanıcının depolama sürücülerinde .maFile kalıntılarını tarar. Çalındıktan sonra saldırganın telefonunuza fiziksel erişimi bile gerekmez; otomatik bot ağları sırlarınızı yükler, geçerli giriş belirteçleri oluşturur, gerçek takaslarınızı iptal eder ve tüm envanterinizi dakikalar içinde tasfiye etmek için yeni mobil onayları imzalar.
Acil İptal: R-Kodunun Üstün Yetkisi
Steam Guard Mobil Kimlik Doğrulayıcıya kaydolurken hücresel SMS kodunuzu doğruladıktan sonra uygulama R harfiyle başlayan ve ardından 5 basamak gelen bir kod görüntüler (örneğin R12345). Bu sizin İptal Kodunuzdur (R-Code).
R-Kodunun Yetkisi ve Kapsamı:
Google veya Discord yedekleme kodlarının (tek seferlik giriş oturumu sağlayan) aksine Steam'in R-Kodu oturum açmanızı sağlamaz. Tek mimari işlevi mobil doğrulayıcıyı hesabınızdan tek taraflı olarak iptal etmek ve ayırmaktır.
Telefonunuz çalınırsa, suya düşerse veya SIM kartınızın dolaşımda olmadığı yurt dışında kaybolursa, herhangi bir masaüstü tarayıcıyı açabilir, "I can't access my Steam Guard Mobile Authenticator" seçeneğine tıklayabilir, R-kodunuzu girebilirsiniz; doğrulayıcı SMS istemi veya mobil onay olmadan anında kaldırılır.
R-kodunuzun ekran görüntüsünü akıllı telefonunuzun fotoğraf galerisinde saklamak amacını boşa çıkarır: telefonunuz kaybolduğunda veya bozulduğunda R-kodunuz da onunla birlikte gider. Fiziksel bir kağıda yazın veya şifreli bir kasaya (1Password, Bitwarden, KeePassXC) kaydedin.
Telefon Yükseltme: Takas Bekletmesi Olmadan Adım Adım Geçiş
Oyuncular iPhone veya Android cihazlarını yükselttiklerinde birçoğu önce eski telefondaki doğrulayıcıyı kaldırma hatasına düşer ve bu da 15 günlük cezalandırıcı bir takas emanetini tetikler. Bunun yerine Valve'ın resmi sorunsuz geçiş yolunu izleyin:
Eski Telefondaki Doğrulayıcıyı KALDIRMAYIN
Eski cihaza dokunmayın. Manuel kaldırma, hesap korumasını e-posta Guard seviyesine düşürerek anında zorunlu bir takas ambargosu uygular.
Yeni Telefona Steam Uygulamasını Yükleyin
Apple App Store veya Google Play Store'dan resmi Steam uygulamasını indirin. Uygulamayı başlatın, kullanıcı adınızı ve şifrenizi girin.
"Move Authenticator to This Device"ı Seçin
Mevcut Steam Guard kodu istendiğinde "Please help, I no longer have access to my Steam Guard Mobile Authenticator codes" seçeneğine dokunun. Ardından "Move authenticator to this device" seçeneğini belirleyin.
SMS Doğrulama Koduyla Onaylayın
Steam kayıtlı cep telefonu numaranıza 6 haneli bir SMS doğrulama kodu gönderir. Bu kodu yeni telefonda girin. Valve kriptografik anahtar malzemesini yeni cihazınıza aktarır ve eski telefonun yetkisini kaldırır.
✅ Bu geçiş akışı takas bekleme sürelerini minimumda tutar (genellikle 15 günlük tam emanet cezası yerine yalnızca 2 günlük kısa bir bekletme uygulanır).
Üç Kademeli Olağanüstü Durum Kurtarma Planı
Kademe 1: Telefon Kayıp, Ancak Telefon Numarası Korundu
Hücresel operatörünüzden yedek bir SIM kart alın. Bir masaüstü tarayıcısında Steam'e giriş yapın, "I don't have access to my authenticator"ı seçin ve SMS kurtarmayı belirleyin. Eski cihazı kaldırmak veya yeni bir cihaz tanımlamak için kodu gönderin.
Kademe 2: Hem Telefon Hem Numara Kayıp, Ancak R-Kodu Mevcut
help.steampowered.com -> "Help, I can't sign in" -> "I deleted or lost my Steam Guard Mobile Authenticator" -> "I no longer have access to this phone number" adımlarını izleyin. Kaydedilen R##### kodunuzu girin. Steam doğrulayıcı eşlemesini derhal sonlandırır.
Kademe 3: Tam Kayıp (Telefon Yok, Numara Yok, R-Kodu Yok) — Mülkiyet Kanıtı
Valve'a manuel destek talebi gönderin. Yasal olarak savunulabilir Hesap Mülkiyeti Kanıtı (Proof of Account Ownership) sunmanız gerekir:
- Perakende Oyun CD Anahtarları: El yazısıyla yazılmış destek talebi referans numaranızın yanında CD Anahtarı etiketini gösteren fiziksel oyun kutularının net fotoğrafları.
- Kredi Kartı Doğrulaması: Kart üzerindeki isim, fatura adresi, kartı veren kuruluş ve Steam alışverişlerinde kullanılan son 4 hane.
- Üçüncü Taraf Ödeme Makbuzları: Steam satın alımlarına bağlı PayPal Fatura Kimlikleri veya Alipay / WeChat işlem makbuz numaraları.
- Steam Cüzdanı Fiziksel Kartları: Kazınmamış veya kullanılmış fiziksel Steam Cüzdan kartlarının fotoğrafları.
🛡️ Güvenlik İhlali Sonrası Müdahale: 6 Adımlı Olay Müdahale Protokolü
Şüpheli hesap etkinliği, anormal takaslar fark ederseniz veya kimlik bilgilerinizin ele geçirildiğinden şüpheleniyorsanız bu kritik acil durum kontrol listesini derhal uygulayın:
- Şifre Değişikliğini Zorunlu Kılın: Steam ana şifrenizi güvenli ve temiz bir ikincil cihazdan veya akıllı telefondan hemen güncelleyin. Ana şifreyi değiştirmek etkin tarayıcı oturum belirteçlerini anında sonlandırır.
- Tüm Aktif Cihazların Yetkisini Kaldırın: Steam Hesap Detayları -> Manage Steam Guard -> "Deauthorize all other devices" butonuna tıklayın. Bu, tüm masaüstü kurulumlarında ve mobil uygulamalarda etkin oturum çerezlerini temizler.
- Güvenliği İhlal Edilen Web API Anahtarını İptal Edin: Hacker bot kancalarını kesmek için
steamcommunity.com/dev/apikeysayfasını ziyaret edin ve "Revoke My Steam Web API Key"e tıklayın. - Takas Teklifi URL'sini Yeniden Oluşturun: Envanter takas teklifi gizlilik ayarlarınızda, otomatik veri kazıyıcıların takibini kesmek için yeni bir Takas Teklifi URL'si oluşturun.
- Steam Aile Görünümü Korumasını Etkinleştirin: Envanter ve takas erişimini kapsayan 4 haneli bir Aile Görünümü PIN'i yapılandırın. Bir saldırgan web oturum çerezini yeniden ele geçirse bile PIN sınamasını çözmeden öğeleri görüntüleyemez veya takas edemez.
- Tam Uç Nokta Temizliği Yapın: Birincil oyun masaüstünüzde Steam'i başlatmadan önce bilgi hırsızı yüklerini temizlemek için Windows Defender veya Malwarebytes ile çevrimdışı kötü amaçlı yazılım taraması gerçekleştirin.
Sıkça Sorulan Sorular (SSS)
Telefon yerine masaüstü yazılımı (SDA - Steam Desktop Authenticator gibi) kullanabilir miyim? ▼
SDA gibi üçüncü taraf açık kaynak araçlar Steam sırrınızı çıkarıp takas onaylarını otomatikleştirebilse de, oyun oynamak ve web'de gezinmek için kullanılan aynı bilgisayarda kimlik doğrulayıcı çalıştırmak temel "Bant Dışı" (Out-of-Band) güvenlik sınırını yok eder. İş istasyonunuza bir bilgi hırsızı bulaşırsa saldırganlar SDA veritabanı dosyanızı ele geçirip saniyeler içinde envanterinizi boşaltır. Fiziksel mobil telefonlar altın standart olmaya devam etmektedir.
Steam şifremi değiştirdikten sonra takaslarım neden kısıtlandı? ▼
Şifrenizi kıran veya tahmin eden bir saldırganın envanterinizi anında boşaltmasını önlemek için Valve, şifre sıfırlamalarının ardından otomatik 2 ila 7 günlük takas bekleme süresi uygular. Bekleme penceresi sona erdiğinde kısıtlama otomatik olarak kalkar.
Steam Aile Görünümü hesap ele geçirmeyi engeller mi? ▼
Aile Görünümü ciddi bir derinlemesine savunma sağlar! Envantere, takas tekliflerine ve mağaza özelliklerine erişmek için ikincil bir 4 haneli PIN gerektirdiğinden, aktif web oturumunuza erişim sağlayan bir saldırgan PIN sınamasını çözmeden takas başlatamaz veya envanterinizi inceleyemez.
Evrensel 2FA Belirteçlerini Güvenle Üretin
Oyun, bulut ve sosyal medya hesaplarınız için standart RFC 6238 TOTP belirteçleri üretmek mi istiyorsunuz? 2FA-Tool'un %100 çevrimdışı, istemci tarafı hesaplayıcısını kullanın.