SECURING AUTHORIZATION TOKENS

A system, method, and computer program product are provided for securing authorization tokens using client instance specific secrets. Tokens are valid for service requests only if time constraints and additional security constraints are met by additional information stored in the token in hashed form. A required comparison of a timestamp in a client service request header to the current server time limits the useful token life, e.g., to a few minutes. The service request header also includes data generated based on a secret previously assigned to a specific client instance. The secret may be generated by the server according to a public/private key scheme and sent to a particular client instance only once, e.g., during initial device registration. The secret may be omitted from service requests for public information. Service request headers may include device identifiers, so that service requests from known rogue clients may be ignored. L'invention concerne un système, un procédé et un produit programme informatique de sécurisation de jetons d'autorisation grâce à des secrets spécifiques d'instance de client. Les jetons sont valides pour des demandes de service uniquement si des contraintes temporelles et des contraintes de sécurité supplémentaires sont respectées par des informations supplémentaires stockées dans le jeton sous forme hachée. Une comparaison requise d'une estampille temporelle dans un en-tête de demande de service de client avec l'heure de serveur actuelle limite la durée de vie utile de jeton à quelques minutes, par exemple. L'en-tête de demande de service contient également des données produites en fonction d'un secret attribué préalablement à une instance de client spécifique. Le secret peut être produit par le serveur selon un schéma à clés publique/privée et envoyé à une instance de client particulière une seule fois, par exemple pendant l'enregistrement de dispositif initial. Le secret peut être omis de demandes de service pour des informations publiques. Des en-têtes de demande de service peuvent contenir des identifiants de dispositif, de sorte que des demandes de service provenant de clients malhonnêtes connus puissent être ignorées.