TCP e UDP: quando si usa ciascuno

TCP e UDP sono i due protocolli principali del livello di trasporto (livello 4 del modello OSI). Definiscono come vengono inviati i dati tra applicazioni eseguite su host diversi.

TCP è un protocollo orientato alla connessione. Prima di inviare i dati, viene stabilita una connessione tramite il three-way handshake. TCP garantisce la consegna, l'ordine e il controllo degli errori.

Casi d'uso: HTTP/HTTPS, SSH, SMTP, FTP — qualsiasi applicazione che richieda affidabilità.

Stabilimento di una connessione TCP:

1. Il client invia SYN (sincronizzazione)
2. Il server risponde con SYN-ACK (sincronizzazione-conferma)
3. Il client invia ACK (conferma)

La connessione è ora stabilita. Questo handshake è l'obiettivo degli attacchi SYN flood.

TCP offre:

• Affidabilità — ritrasmette i pacchetti persi
• Ordinamento — ricompone i pacchetti nella sequenza corretta
• Controllo del flusso — impedisce di sovraccaricare il destinatario
• Controllo della congestione — si adatta alla capacità della rete

UDP è un protocollo senza connessione. Invia datagrammi senza stabilire prima una connessione. Non garantisce la consegna, non mantiene l'ordine e non prevede conferme.

Casi d'uso: DNS, VoIP, streaming video, giochi online, DHCP — applicazioni in cui la velocità è più importante della perfezione.

UDP è veloce e leggero:

• Nessun overhead di connessione
• Nessun ritardo dovuto alle ritrasmissioni
• Latenza inferiore
• L'applicazione deve gestire l'affidabilità, se necessaria (ad esempio, QUIC su UDP)

Differenze principali:

• TCP: affidabile, ordinato, più lento, orientato alla connessione
• UDP: veloce, non affidabile, senza connessione, con overhead inferiore

QUIC (HTTP/3) utilizza UDP con un meccanismo di affidabilità personalizzato per migliorare le prestazioni del Web moderno.

Il handshake di TCP comporta alcuni rischi per la sicurezza:

• SYN flood: l'attaccante invia migliaia di pacchetti SYN senza completare gli handshake, esaurendo le risorse del server
• Dirottamento di sessione TCP: l'attaccante predice i numeri di sequenza per inserire dati in una sessione esistente

L'assenza di uno stato di connessione in UDP consente:

• DDoS UDP tramite amplificazione: l'attaccante falsifica l'IP della vittima e invia piccole richieste a servizi UDP aperti, che rimandano risposte di grandi dimensioni alla vittima
• Amplificazione DNS: una singola richiesta DNS di piccole dimensioni può generare una risposta molto più grande

Porte principali da conoscere:

• TCP 22 — SSH
• TCP 80 — HTTP
• TCP 443 — HTTPS
• UDP 53 — DNS
• UDP 67/68 — DHCP
• TCP 3306 — MySQL
• TCP 3389 — RDP

Utilizzare ss o netstat per esaminare le porte e le connessioni aperte:

Una query DNS viene inviata dal computer per risolvere un nome di dominio. Quale protocollo utilizza?

TCP offre una consegna affidabile e ordinata utilizzando un three-way handshake: è ideale per HTTP, SSH e SMTP. UDP è veloce e senza connessione: è ideale per DNS, VoIP e streaming. Ciascun protocollo presenta implicazioni di sicurezza specifiche: TCP è vulnerabile a SYN flood e dirottamento di sessione, mentre UDP consente attacchi di amplificazione.