Контроль корпоративных устройств
Устройство — отдельный субъект безопасности. Один пользователь может иметь несколько clients с разным состоянием и риском.
Привязывайте сессии к устройству
Backend хранит device ID, platform, status и связанные sessions. Private credentials остаются в Windows DPAPI или Android Keystore.
Новый login может создать или подтвердить устройство и вызвать security notification без передачи message plaintext в email.
Различайте logout, revoke и wipe
Logout завершает конкретную сессию. Revoke запрещает устройству новые сессии и закрывает realtime. Wipe дополнительно просит официальный клиент удалить корпоративное локальное хранилище.
Администратор должен видеть статус и последнее безопасно собранное время активности, но не избыточный location tracking.
Проверяйте состояние до cache
На старте приложение валидирует device status, security epoch, purge epoch и workspace status до открытия encrypted database.
High-security policy может запрещать offline unlock после истечения короткой lease. Это компромисс между доступностью и риском потерянного устройства.
Материал описывает проверяемые продуктовые принципы и не является юридической консультацией.