Amazon Alexaリクエストで提供されたuserIdでの認証は安全ですか？

Question

各デバイス/ userIdに対していくつかの永続的な詳細/履歴を記録したいと思います。別のシステムの別のアカウントにリンクしたくないので、アカウントのリンクを使用しないようにしたいと思います。ドキュメントによれば、これは問題ありません。下記を参照してください。

userIdを含むリクエストは元のデバイスからのものでなければならないと思いますか？

• ユーザーは推測できますか？
• ユーザーを公開できますか？ （大規模なAWS侵入は想定していません）
• リクエストを傍受できますか？スキルが認証を必要とするシステムと接続する必要があるときにリンクが必要とされているアカウントhttps://developer.amazon.com/public/solutions/alexa/alexa-skills-kit/docs/linking-an-alexa-user-with-a-user-in-your-system

  注：

関連ドキュメントを（私がリクエストを処理するためにAWSラムダを使用しています）。あなたのカスタムスキルがセッション間の属性を保存するためにユーザーを追跡するだけであれば、アカウントリンクを使用する必要はありません。代わりに、各要求で提供されるuserIdを使用して、ユーザーを識別できます。特定のユーザーのuserIdは、ユーザーがAlexaアプリで自分のスキルを有効にすると生成されます。ユーザーがスキルを無効にしない限り、そのユーザーからスキルへのその後の要求はすべて同じユーザーIDを含みます。

Answer 1

私はidデバイス（あなたは "device/userId"と書いてあります）があるとは思わないので、userIdを使用しています。そしてAlexa userIdを格納するキーとして使用するのはかなり標準的です/ユーザーの詳細/履歴を検索する。そしてあなたが結論したように、あなたはアカウントのリンクが必要なようには聞こえません。

私はuserIdがランダムに生成された値で、推測することはできないと思います。要求は暗号化されているので、そこに問題はないはずです。

ユーザーが自分のスキルを削除してからもう一度追加すると、userIdは同じではない（アカウントリンクを使用しないで実際に同じユーザーであることを知る方法がない）。私の指摘は、ユーザーが自分のスキル（userIdを「公開」する資格があると思う）ごとに1つのuserIdを持たないと仮定するように導くが、スキルごとに新しいuserIdが生成されるということです。だからあなたは安全でなければなりません。