Bouncy Castle para Java: Guia Completo de Criptografia e Segurança

1. O que é e para que serve

Bouncy Castle (frequentemente chamada apenas de BC) é uma das bibliotecas criptográficas mais poderosas e amplamente utilizadas para a plataforma Java (e .NET). Ela oferece aos desenvolvedores um conjunto extenso de APIs para implementar criptografia, assinaturas digitais, hash, geração de chaves e manipulação de certificados. Diferente da Java Cryptography Extension (JCE) padrão, o Bouncy Castle suporta uma quantidade muito maior de algoritmos, incluindo muitos obsoletos, experimentais e raramente usados, tornando-se uma ferramenta indispensável para profissionais de segurança e desenvolvedores que trabalham com protocolos não convencionais.

Para que serve? Primeiro, a biblioteca padrão do Java (JCA/JCE) não inclui muitos algoritmos modernos e especializados (como Twofish, Serpent, GOST, SM2/SM3/SM4). O Bouncy Castle preenche essa lacuna. Segundo, ele fornece uma implementação "leve" (Lightweight API) que não requer a instalação de um provedor de segurança (Provider) na JVM global, o que é ideal para sistemas embarcados e aplicações onde o isolamento é importante. Terceiro, a biblioteca é ativamente mantida, passa por auditorias de segurança e é o padrão de facto para muitos projetos open source (como OpenSSL para Java).

O Bouncy Castle consiste em dois componentes principais: o provedor (bcprov-jdk18on), que se integra à arquitetura de segurança do Java, e os pacotes PKIX/CMS/SMIME/TLS (bcpkix-jdk18on, bcmail-jdk18on, bctls-jdk18on), que implementam protocolos de alto nível como S/MIME, TLS e manipulação de certificados X.509. Este artigo focará no núcleo da biblioteca — o provedor e sua API leve.

2. Instalação

O Bouncy Castle é distribuído através do Maven Central. Para usar em um projeto Java (Maven, Gradle, SBT), adicione as seguintes dependências ao seu arquivo de build.

Para Maven (pom.xml):

<!-- Provedor principal (obrigatório) -->
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk18on</artifactId>
    <version>1.78.1</version> <!-- Verifique a versão mais recente no mvnrepository.com -->
</dependency>

<!-- Para trabalhar com certificados, CMS, S/MIME (opcional) -->
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk18on</artifactId>
    <version>1.78.1</version>
</dependency>

Para Gradle (build.gradle):

implementation 'org.bouncycastle:bcprov-jdk18on:1.78.1'
implementation 'org.bouncycastle:bcpkix-jdk18on:1.78.1' // Opcional

Importante: Se você usa versões antigas do Java (anteriores à 8), precisará da versão bcprov-jdk15on. Para Java 8+, use bcprov-jdk18on. Após adicionar a dependência, no código é necessário registrar o provedor (se você usar a API JCE padrão) ou trabalhar diretamente com a API leve.

3. Início rápido — exemplo mínimo funcional

Exemplo simples: criptografar uma string usando o algoritmo AES-256 no modo GCM (criptografia autenticada) através da API leve.

import org.bouncycastle.crypto.*;
import org.bouncycastle.crypto.engines.AESEngine;
import org.bouncycastle.crypto.modes.GCMBlockCipher;
import org.bouncycastle.crypto.params.*;
import org.bouncycastle.util.encoders.Hex;

import java.security.SecureRandom;

public class QuickStart {

    public static void main(String[] args) throws Exception {
        // 1. Gerar chave e IV (Vetor de Inicialização)
        SecureRandom secureRandom = new SecureRandom();
        byte[] keyBytes