Steam保存的账号密码存储位置及安全性解析

Question

Steam客户端在本地存储用户登录凭据时，主要采用操作系统级加密机制保护账号密码。其凭证缓存文件通常位于“userdata”或“config”目录下的特定二进制文件中（如loginusers.vdf），但密码本身并不以明文形式保存。问题：**Steam如何在本地安全存储用户密码？其依赖的加密机制是什么，是否易受恶意软件或离线提取攻击？若系统权限被突破，攻击者能否通过读取配置文件还原原始密码？该机制在Windows与macOS平台间是否存在安全实现差异？** 此问题涉及本地认证持久化、加密存储实践及潜在安全风险面分析。

Answer 1

Steam本地用户凭据存储机制深度解析

1. 凭据存储的基本架构与文件布局

Steam客户端在本地系统中通过结构化目录管理用户数据，核心配置文件通常位于以下路径：

• Windows: C:\Program Files (x86)\Steam\config\
• macOS: ~/Library/Application Support/Steam/config/

关键文件包括：

文件名	用途描述
loginusers.vdf	存储用户账号列表、最后登录时间、是否自动登录等元信息
ssfn<token>	会话令牌文件，用于无密码快速登录
config.vdf	全局配置，包含部分加密的认证状态标记

值得注意的是，loginusers.vdf 中并不包含明文密码，仅记录用户名（Steam ID 或邮箱）及加密后的会话标识。

2. 加密机制的技术实现层级

Steam并未自行实现密码哈希或加密算法，而是依赖操作系统提供的安全服务进行敏感数据保护。其采用的机制因平台而异：

2.1 Windows 平台：DPAPI（Data Protection API）

在Windows上，Steam使用DPAPI对会话密钥和临时凭证进行封装。该API允许应用程序以当前用户身份加密数据，且解密仅限于同一用户上下文。

    // 示例：DPAPI调用逻辑（简化）
    BOOL success = CryptProtectData(
        &dataIn,            // 待加密数据
        L"Steam Login Token", // 数据描述
        NULL,                 // 可选熵值
        NULL,                 // 保留参数
        NULL,                 // UI提示结构
        CRYPTPROTECT_UI_FORBIDDEN,
        &dataOut              // 输出加密BLOB
    );
    

此机制确保即使攻击者获取加密数据，也无法跨账户或离线解密。

2.2 macOS 平台：Keychain Services

macOS版本的Steam将敏感凭证（如refresh token）存入系统钥匙串（Keychain），并通过访问组权限控制读取行为。

利用SecItemAdd与SecItemCopyMatching接口实现安全存储：

    NSDictionary *query = @{
        (__bridge id)kSecClass: (__bridge id)kSecClassGenericPassword,
        (__bridge id)kSecAttrAccount: @"SteamAuthToken",
        (__bridge id)kSecValueData: [tokenData dataUsingEncoding:NSUTF8StringEncoding]
    };
    OSStatus status = SecItemAdd((__bridge CFDictionaryRef)query, NULL);
    

钥匙串条目受用户登录密码保护，默认锁定时无法访问。

3. 安全风险面分析：恶意软件与权限突破场景

尽管采用了OS级加密，仍存在若干潜在攻击路径：

1. 若攻击者已获得本地管理员权限，可通过注入Steam进程直接提取内存中的会话Token。
2. 某些第三方工具可滥用DPAPI导出功能，在用户会话活跃时提取加密凭据并尝试离线破解（需配合社会工程学获取密码）。
3. macOS钥匙串若未设置独立密码，重启后首次登录即解锁，存在短暂暴露窗口。
4. ssfn文件虽非密码本身，但结合Steam协议漏洞曾被用于“离线模式劫持”攻击（CVE-2019-14738相关变种）。

4. 跨平台安全实现差异对比

维度	Windows	macOS
加密基础	DPAPI + 用户SID绑定	Keychain + ACL访问控制
凭据载体	ssfn文件 + 注册表缓存	钥匙串条目 + config/vdf辅助
解密条件	相同用户+同主机	用户会话解锁钥匙串
离线提取难度	高（需系统密钥备份）	中（可用security命令行工具尝试）
防内存扫描	有限（运行时仍可dump）	类似，XPC通信增加复杂度

5. 攻击模拟流程图：从文件读取到凭证还原可能性

下述Mermaid流程图展示攻击者试图从配置文件还原原始密码的典型路径：

    graph TD
        A[获取系统读取权限] --> B{能否访问loginusers.vdf?}
        B -->|是| C[解析VDF结构提取account_name]
        B -->|否| D[权限不足，终止]
        C --> E[检查是否存在ssfn文件]
        E -->|存在| F[尝试加载为会话令牌]
        E -->|不存在| G[需重新认证]
        F --> H[是否拥有有效Cookie/Refresh Token?]
        H -->|是| I[发起API请求维持登录态]
        H -->|否| J[无法恢复会话]
        I --> K[内存中可捕获临时凭证]
        K --> L[仍无法还原原始密码——Steam不存储明文]
    

由此可见，原始密码不可逆还原，但长期有效的会话令牌可能成为实际替代目标。

6. 最佳实践建议与防御策略

针对企业环境或高级用户，建议采取以下措施增强安全性：

• 启用Steam Guard双因素认证（2FA），使本地令牌失效后仍需二次验证。
• 定期清理旧设备上的Steam安装痕迹，删除ssfn*和config目录。
• Windows端可结合BitLocker整盘加密防止离线DPAPI提取。
• macOS用户应设置强登录密码并启用FileVault。
• 避免在公共或共享计算机上勾选“记住密码”选项。
• 监控异常登录活动，及时撤销可疑会话。

此外，开发人员可借鉴Steam的设计哲学：优先使用OS原生安全设施而非自研加密模块，降低实现错误风险。