L'obiettivo è limitare a SOLO quei dispositivi non è un discorso di contemporaneità. Se io l'ho dato a te non è che poi puoi cedere le credenziali anche a terzi.
Mi veniva in mente la soluzione per esempio che usava (non so se lo fa ancora) l'app skygo che consentiva di "registrare" due dispositivi e se non erano quei dispositivi tu non potevi accedere al servizio. Potevi eventualmente disattivarne uno ma poi per 30 giorni se ne riattivavi un'altro non potevi rimuoverlo nuovamente. Mi chiedevo che tipo di strategia utilizzano visto che poi nell'area utente potevi anche gestirli questi dispositivi.