TCP frente a UDP: cuándo se utiliza cada uno

TCP y UDP son los dos protocolos principales de la capa de transporte (capa 4 del modelo OSI). Definen cómo se envían los datos entre aplicaciones de distintos hosts.

TCP es un protocolo orientado a conexión. Antes de enviar los datos, se establece una conexión mediante el handshake de tres vías. TCP garantiza la entrega, el orden y la comprobación de errores.

Casos de uso: HTTP/HTTPS, SSH, SMTP y FTP; cualquier aplicación que necesite fiabilidad.

Establecimiento de una conexión TCP:

1. El cliente envía SYN (sincronizar)
2. El servidor responde con SYN-ACK (sincronizar-confirmar)
3. El cliente envía ACK (confirmar)

La conexión ya está establecida. Este handshake es el objetivo de los ataques de inundación SYN.

TCP proporciona:

• Fiabilidad: retransmite los paquetes perdidos
• Orden: vuelve a ensamblar los paquetes en la secuencia correcta
• Control de flujo: evita saturar al receptor
• Control de congestión: se adapta a la capacidad de la red

UDP es un protocolo sin conexión. Envía datagramas sin establecer primero una conexión. No garantiza la entrega ni el orden, y no utiliza confirmaciones.

Casos de uso: DNS, VoIP, streaming de vídeo, juegos en línea y DHCP; aplicaciones en las que la velocidad importa más que la perfección.

UDP es rápido y ligero:

• No tiene la sobrecarga de establecer una conexión
• No introduce retrasos por retransmisiones
• Ofrece una latencia menor
• La aplicación debe gestionar la fiabilidad si la necesita (por ejemplo, QUIC sobre UDP)

Diferencias principales:

• TCP: fiable, ordenado, más lento y orientado a conexión
• UDP: rápido, no fiable, sin conexión y con menor sobrecarga

QUIC (HTTP/3) utiliza UDP con fiabilidad personalizada para mejorar el rendimiento de la web moderna.

El handshake de TCP crea una exposición de seguridad:

• Inundación SYN: el atacante envía miles de paquetes SYN sin completar los handshakes y agota los recursos del servidor
• Secuestro de sesiones TCP: el atacante predice los números de secuencia para inyectar datos en una sesión existente

La ausencia de estado de conexión de UDP permite:

• DDoS por amplificación de UDP: el atacante suplanta la IP de la víctima y envía pequeñas solicitudes a servicios UDP abiertos que devuelven respuestas grandes a la víctima
• Amplificación de DNS: una única solicitud DNS pequeña puede desencadenar una respuesta mucho mayor

Puertos importantes que debe conocer:

• TCP 22: SSH
• TCP 80: HTTP
• TCP 443: HTTPS
• UDP 53: DNS
• UDP 67/68: DHCP
• TCP 3306: MySQL
• TCP 3389: RDP

Utilice ss o netstat para inspeccionar los puertos y las conexiones abiertos:

Se envía una consulta DNS desde su equipo para resolver un nombre de dominio. ¿Qué protocolo utiliza?

TCP proporciona una entrega fiable y ordenada mediante un handshake de tres vías, por lo que es ideal para HTTP, SSH y SMTP. UDP es rápido y no requiere conexión, por lo que es ideal para DNS, VoIP y streaming. Cada protocolo tiene distintas implicaciones de seguridad: TCP es vulnerable a inundaciones SYN y al secuestro de sesiones; UDP permite ataques de amplificación.