Quand une migration d’identité tourne mal

Je viens de vivre l’une des migrations de plateforme d’identité les plus absurdes que j’aie jamais vues…

et c’est arrivé dans le pire cas d’usage possible : essayer de localiser un appareil perdu.

Voici l’histoire :

La migration : deux plateformes, un aller-retour ridicule

Je me connectais auparavant sur account.samsung.com. Récemment, Samsung a migré les fonctionnalités de localisation d’appareils vers une nouvelle plateforme :

SmartThings Find a vérifié mon e-mail.

Il a détecté que mon compte vivait encore chez l’ancien fournisseur d’identité

Il m’a renvoyé vers account.samsung.com

L’ancienne plateforme m’a demandé de me connecter

Une fois connecté, elle prévoyait de me rediriger vers la nouvelle plateforme

Un aller-retour d’authentification complet entre deux systèmes d’identité, juste pour se connecter…

C’est déjà une architecture discutable. Mais c’est là qu’est arrivée la chute.

Le défaut fatal un 2FA legacy toujours lié à l’appareil (perdu) (risible)

L’ancien fournisseur d’identité utilise toujours un 2FA lié à l’appareil.

Alors quand j’ai tenté de m’authentifier, il m’a fièrement annoncé :

« Nous avons envoyé un code de vérification sur votre appareil »

Sauf que… l’appareil est perdu. C’est justement pour ça que j’essaie de me connecter… 😅

Chaque option de repli était tout aussi inutile : renvoyer le code, envoyer un SMS…

Ce n’était pas un bug d’UX. C’était un échec de conception de la migration.

La seule raison pour laquelle j’ai fini par me connecter : un pur coup de bol

J’ai finalement réussi à m’authentifier via Google OAuth2.

Mais voici le rebondissement : ça n’a marché que parce que, il y a des années, j’avais créé mon compte Samsung avec :

mon e-mail Google, mais pas mon mot de passe Google, avec un mot de passe propre à Samsung.

Autrement dit : Samsung a stocké mon e-mail Google comme identifiant unique du compte

Google OAuth2 a renvoyé le même e-mail.

Samsung a fait correspondre l’e-mail et en a conclu : « Ce compte Google correspond à un compte Samsung existant. »

C’était une pure coïncidence. Si Samsung avait utilisé un UUID interne au lieu de l’e-mail comme identifiant unique, OAuth2 aurait créé un tout nouveau compte vide, et je serais toujours à la porte.

Bonus pour ceux qui sont arrivés jusqu’au bout du topic 🍭

Mais où était donc passé ce satané appareil ??

Sous l’évier de la cuisine ! Tout moi : je l’avais posé là pour avoir les deux mains libres et ranger le placard ! Misère… 🙄