Каков принцип работы Mobile Authenticator Steam Guard? Как он генерирует коды оффлайн? Как вообще работают подобные программы?

Так же, как и большинство аутентификаторов (FreeOTP, Google Authenticatior) - создают одноразовые пароли с помощью секретного ключа, получаемого через QR-код