¿Qué es QUIC? Entiende el protocolo
Un protocolo define cómo se transfieren los datos a través de Internet entre dos dispositivos. Y dado que los protocolos deben ser compatibles entre el cliente y el servidor que responde, la industria dependió abrumadoramente de unos pocos elementos básicos ampliamente adoptados. Los protocolos más antiguos incluyen TCP y UDP, cada uno de los cuales lleva décadas en funcionamiento.
Esto cambió en 2013, cuando Google comenzó a probar un nuevo enfoque: el protocolo QUIC proporciona una forma para que la aplicación de Google transmita datos más rápido y con menos latencia de protocolo que los protocolos tradicionales.
¿Cómo funciona el protocolo QUIC?
QUIC es un protocolo de transporte cifrado construido sobre UDP. Está diseñado para combinar la velocidad de UDP con la seguridad de protocolos como TLS, creando efectivamente una conexión rápida y segura a Internet.
A diferencia de los protocolos tradicionales, donde la autenticación y el cifrado son gestionados por soluciones de capa superior, como TLS, QUIC integra estas características directamente en la capa de transporte.
Esto hace que QUIC sea más rápido y eficiente para el tráfico sitio web moderno.
- Funciona iniciando un proceso rápido de handshake, lo que le permite establecer una conexión segura rápidamente.
- Una vez completado el handshake, QUIC envía múltiples flujos de datos cifrados simultáneamente al servidor, reduciendo la latencia y mejorando el rendimiento.
Al integrar tanto la autenticación como el cifrado en el propio protocolo, QUIC agiliza la comunicación segura manteniendo los beneficios ligeros de UDP.
Fast Handshake
El apretón de manos es una parte crucial de todo protocolo de red. QUIC sustituye el tradicional handshake de tres vías usado en TCP por el proceso de autenticación y cifrado del handshake TLS 1.3.
Para desglosarlo, una conexión TCP típica implica:
- El cliente que envía un paquete SYN
- El servidor responde con un paquete SYN-ACK
- El cliente finalizando la conexión con un paquete ACK
Este proceso de tres pasos es necesario antes de que se pueda transmitir cualquier dato.
QUIC elimina este requisito operando sobre UDP. Dado que UDP no requiere el establecimiento de conexión de la misma manera, QUIC permite enviar datos inmediatamente a través de enlaces compatibles con UDP, reduciendo la latencia.
En algunos casos, QUIC puede enviar datos durante el primer ciclo de conexión, conocido como 0-RTT (tiempo de ida y vuelta cero). Es posible cuando el servidor tiene una conexión previamente almacenada en caché con el cliente. Pero, aunque el 0-RTT mejora la velocidad, no siempre es la opción más segura y puede exponer los datos a ataques de repetición si no se gestiona correctamente.
Encriptación
Además de su rápido handshake, QUIC introduce cifrado incorporado. Tradicionalmente, a través de TCP, el cifrado se gestionaba por separado mediante el protocolo TLS, que requería su propio apretón de manos para negociar la versión y el conjunto de cifrados. Este apretón de manos estableció los algoritmos y protocolos de cifrado que se emplearían durante la sesión.
Como QUIC está construido sobre UDP, modifica el handshake tradicional TLS para ajustarlo a su arquitectura simplificada. QUIC logra esto enviando un Client Hello (CHLO) envuelto en dos componentes específicos:
- Un paquete inicial
- Un marco cripto
Este empaquetado permite incluir el handshake criptográfico dentro del primer datagrama UDP que envía el cliente. Como resultado, los apretones de manos de transporte y cifrado se fusionan en un solo paso eficiente. Tras este intercambio inicial, QUIC se comporta de forma muy similar a TLS 1.3.
Toda la comunicación posterior entre el cliente y el servidor se cifra usando claves de sesión del handshake.
Orden de paquetes
QUIC está construido sobre UDP, un protocolo conocido por su velocidad pero no por su fiabilidad: los paquetes pueden perder o llegar fuera de orden. Por otro lado, TCP garantiza fiabilidad pero a costa de una mayor latencia. En TCP, si ocurre un error en un flujo, todos los flujos concurrentes del cliente quedan en pausa hasta que se resuelva el problema.
QUIC logra un equilibrio entre velocidad y fiabilidad organizando los datos en flujos independientes y cerciorando que cada flujo mantenga su propio orden interno de paquetes.
Sin embargo, QUIC no impone el orden de paquetes entre diferentes flujos.
Por ejemplo, imagina que dos flujos – Flujo A y Flujo B – se transfieren de un servidor a un cliente.
- Stream A. Si se pierde un paquete del Flujo A, el Flujo A gestionará la retransmisión de forma independiente.
- El Flujo B continúa sin interrupciones y puede completar su transferencia sin ver afectado por la pérdida en el Flujo A.
Este nivel de independencia del flujo es una mejora clave respecto a protocolos anteriores como HTTP/2, donde la pérdida de paquetes en un flujo podía frenar a otros que compartían la misma conexión.
Los desafíos del protocolo QUIC
Aunque QUIC ya transporta una parte significativa de los datos de aplicaciones de Google, su adopción más amplia en entornos distribuidos globalmente sigue siendo limitada.
Uno de los principales obstáculos es el lento ritmo de cambio en la infraestructura de Internet. TCP fue el protocolo dominante en la capa de transporte durante más de 40 años y es capaz de transportar prácticamente cualquier tipo de datos. Aunque QUIC ofrece beneficios claros, especialmente en la reducción de la latencia a largas distancias, como las conexiones intercontinentales, sus beneficios suelen considerar limitados en comparación con la versatilidad de TCP.
Google promovió agresivamente la adopción de QUIC, avanzando en su desarrollo e integración en sus servicios. Sin embargo, esto dejó a muchas compañías luchando por adaptar a los estándares y tendencias.
Como resultado, los desafíos en la implementación de QUIC siguen siendo considerables, especialmente para organizaciones con infraestructuras complejas, sistemas heredados o falta de experiencia interna.
Riesgos de la 0-RTT
Para conexiones en caché, QUIC permite enviar datos durante el primer viaje de ida y vuelta, conocido como 0-RTT. Aunque este enfoque elimina eficazmente la latencia del handshake, introduce preocupaciones notables de seguridad.
Un riesgo importante es la ausencia de un nuevo apretón de manos criptográfico. Si la conexión original empleada para almacenar en caché la información de la sesión se veía comprometida, cualquier dato de aplicación enviado durante la conexión reanudada también podía exponer.
Otra preocupación son los ataques de repetición. Los datos de la aplicación enviados vía 0-RTT pueden ser interceptados por un atacante en ruta y reproducidos varias veces al mismo servidor. En la mayoría de los casos, el cifrado ayuda a mitigar este tipo de amenaza, pero el 0-RTT debilita esa capa de protección al eludir la renegociación total.
Como resultado, aunque el 0-RTT ofrece beneficios de rendimiento, debe emplear con cautela, especialmente en escenarios que involucran datos sensibles o altos requisitos de seguridad.
Incompatibilidad de firewall
Desde el punto de vista de la seguridad empresarial, QUIC presenta desafíos adicionales, especialmente para las organizaciones que dependen de la inspección profunda de paquetes y el desencriptado del tráfico.
Un problema clave es que QUIC no soporta descifrado SSL, que es un método común empleado por firewall empresariales para inspeccionar y proteger el tráfico de red. En su lugar, QUIC emplea su propio cifrado propietario. Dado que está ampliamente desplegado en toda la suite de aplicaciones de Google, esto crea un punto ciego significativo en la visibilidad y control en rojo para los equipos de TI.
Otro desafío radica en la filosofía de diseño de QUIC.
Google construyó QUIC para que fuera flexible y fácilmente actualizable, a diferencia de la rígida y envejecida infraestructura TCP. Aunque este enfoque favorece la innovación rápida, también requiere que los firewall y las herramientas de seguridad se adapten rápidamente a los cambios a nivel de protocolo. Esta necesidad continua de actualizaciones puede suponer una gran carga para los equipos de TI y la infraestructura.
Como resultado, algunos proveedores de firewall recomiendan bloquear completamente el QUIC hasta que dispongan de herramientas de seguridad más maduras y compatibles. Desde la evolución de la documentación hasta la implementación inconsistente, los desafíos de seguridad de QUIC siguen acumular, especialmente en entornos empresariales.
Impone la seguridad de red de alta velocidad con Check Point
Check Point Quantum es un firewall líder en la industria que ahora soporta QUIC. Pero Quantum Red Security ofrece mucho más que visibilidad sobre la aplicación de Google: ofrece una profunda conciencia de amenazas de Check Pointjunto SandBlast protección zero-day. Para comprender esas amenazas más avanzadas, consulta nuestro reporte de riesgos 2025.
La infraestructura hiperescala bajo demanda mantiene baja la latencia y proporciona una escalabilidad fluida a medida que evolucionan las necesidades de una organización. Para una gestión mejor y más clara, Quantum ofrece un sistema de gestión unificado que integra visibilidad en entornos rojo, nube y IoT.
Experimenta todas las capacidades de Check Point Quantum comenzando hoy mismo tu demostración gratis.
