Bouncy Castle para Java: Guía completa de criptografía y cifrado

1. ¿Qué es y para qué sirve?

Bouncy Castle (a menudo llamada simplemente BC) es una de las bibliotecas criptográficas más potentes y utilizadas para la plataforma Java (y .NET). Proporciona a los desarrolladores un amplio conjunto de API para implementar cifrado, firmas digitales, hash, generación de claves y gestión de certificados. A diferencia de la extensión estándar Java Cryptography Extension (JCE), Bouncy Castle ofrece soporte para muchos más algoritmos, incluidos muchos obsoletos, experimentales y de uso poco frecuente, lo que la convierte en una herramienta indispensable para especialistas en seguridad y desarrolladores que trabajan con protocolos no estándar.

¿Para qué sirve? En primer lugar, la biblioteca estándar de Java (JCA/JCE) no incluye muchos algoritmos modernos y especializados (por ejemplo, Twofish, Serpent, GOST, SM2/SM3/SM4). Bouncy Castle llena este vacío. En segundo lugar, proporciona una implementación "ligera" (Lightweight API) que no requiere instalar un proveedor de seguridad (Provider) en la JVM global, lo cual es conveniente para sistemas embebidos y aplicaciones donde el aislamiento es importante. En tercer lugar, la biblioteca recibe mantenimiento activo, pasa auditorías de seguridad y es el estándar de facto para muchos proyectos de código abierto (por ejemplo, OpenSSL para Java).

Bouncy Castle consta de dos componentes principales: el proveedor (bcprov-jdk18on), que se integra con la arquitectura de seguridad de Java, y los paquetes PKIX/CMS/SMIME/TLS (bcpkix-jdk18on, bcmail-jdk18on, bctls-jdk18on), que implementan protocolos de alto nivel como S/MIME, TLS y la gestión de certificados X.509. Este artículo se centrará en el núcleo de la biblioteca: el proveedor y su API ligera.

2. Instalación

Bouncy Castle se distribuye a través de Maven Central. Para usarlo en un proyecto Java (Maven, Gradle, SBT), agrega las siguientes dependencias a tu archivo de compilación.

Para Maven (pom.xml):

<!-- Proveedor principal (obligatorio) -->
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk18on</artifactId>
    <version>1.78.1</version> <!-- Verifica la versión actual en mvnrepository.com -->
</dependency>

<!-- Para trabajar con certificados, CMS, S/MIME (opcional) -->
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk18on</artifactId>
    <version>1.78.1</version>
</dependency>

Para Gradle (build.gradle):

implementation 'org.bouncycastle:bcprov-jdk18on:1.78.1'
implementation 'org.bouncycastle:bcpkix-jdk18on:1.78.1' // Opcional

Importante: Si usas versiones antiguas de Java (anteriores a 8), necesitarás la versión bcprov-jdk15on. Para Java 8+, usa bcprov-jdk18on. Después de agregar la dependencia, en el código debes registrar el proveedor (si usas la API JCE estándar) o trabajar directamente con la API ligera.

3. Inicio rápido — ejemplo mínimo funcional

Ejemplo sencillo: cifrado de una cadena usando el algoritmo AES-256 en modo GCM (cifrado autenticado) a través de la API ligera.

import org.bouncycastle.crypto.*;
import org.bouncycastle.crypto.engines.AESEngine;
import org.bouncycastle.crypto.modes.GCMBlockCipher;
import org.bouncycastle.crypto.params.*;
import org.bouncycastle.util.encoders.Hex;

import java.security.SecureRandom;

public class InicioRapido {

    public static void main(String[] args) throws Exception {
        // 1. Generamos la clave y el IV (Vector de Inicialización)
        SecureRandom secureRandom = new SecureRandom();
        byte[] keyBytes