Steam的‘离线’或‘隐身’设置可能只是个UI假象。有报告指出，即使你设置了离线，Steam后端仍会向你的所有好友广播登录和登出的实时信息，让你的隐私设置形同虚设，这为有心之人追踪你的活动习惯提供了可能。
智能速览
Steam的离线设置被指仅为UI错觉，后端仍在广播用户状态。
客户端会向所有好友发送包含登录时间戳的原始数据包。
此举使得用户的隐私设置失效，个人活动习惯或被追踪。
该漏洞被报告给Valve，但对方以“好友间存在信任关系”为由关闭了工单。
精华内容
这个所谓的“离线”状态，究竟是如何被绕过的？它又对用户的隐私构成了哪些具体风险？以下是深入解析。
离线状态的真相
根据匿名博客Sunkat的报告，Steam的离线或隐身模式更像是一个前端显示效果。当用户切换至离线状态时，其客户端界面确实不再显示为在线，但后端的连接管理器仍在工作。它会继续向用户的所有好友广播状态变更事件，包含精确的UNIX时间戳。这意味着，好友虽然看不到你在线，但其客户端依然能记录下你每一次登录或登出的具体时间。
隐私泄露风险
对于普通用户而言，这种数据泄露可能不易察觉，但对于具备一定技术能力的开发者或黑客来说，这并非难事。通过拦截特定的ClientPersonaState Protobuf消息负载，他们可以轻易地解析出你的登录和登出时间。长期累积下来，这些数据足以构建出你的日常活动规律，例如每日的睡眠周期、游戏时间段等，实现对个人行为的精准追踪。
官方的回应
发现此问题的用户已将漏洞详情及复现方法提交至Valve的HackerOne平台。该用户甚至展示了如何重建目标用户数周的睡眠周期。然而，Valve在评估后将工单关闭，标记为“信息性”。官方给出的理由是，这些数据包仅发送给Steam好友，因此默认好友之间存在信任关系，不构成安全威胁。
被忽视的隐患
Valve的“信任关系”假设在现实场景中显得尤为脆弱。大量Steam用户会因游戏、交易等原因添加许多陌生人。在此背景下，将所有好友都视为可信任对象，无疑放大了隐私泄露的风险。这一设计缺陷让用户的隐私自主权受到了挑战，问题仍未得到实质性解决。
此次事件揭示了数字隐私的复杂性，即便是看似可靠的设置也可能存在后门。对于用户而言，提高警惕至关重要；对于平台方，如何平衡功能与隐私，重新审视并修复这类设计缺陷，将是维持用户信任的关键。未来，我们是否会看到更透明的隐私政策？
