[ca] Una signatura basada en atributs en relació amb una política de signatures triada pel signant, convenç al verificador que el signant té un subconjunt d'atributs que satisfan la política de signatures. El verificador no obtindrà cap informació sobre la identitat del signatari o sobre els atributs que té. Aquest tipus de signatures té moltes aplicacions en situacions de la vida real que demanden autenticació i privacitat al mateix temps. L'habilitat per revocar usuaris que s'han comportat malament o han perdut els seus atributs i ja no poden computar més signatures vàlides, és molt desitjable per a aplicacions de signatures basades en atributs en la vida real. En aquest projecte, el principal objectiu consisteix a estudiar diferents protocols de revocació i incorporar-los en un esquema signatura RSA basada en atributs ja existent. Per poder aconseguir aquests objectius, dos protocols van ser triats entre els disponibles en la literatura existent, tenint en compte l'eficiència dels protocols existents i la necessitat que el protocol hagi estat construït de manera anònima: l'usuari no pot revelar la seva identitat en el moment de provar que ell no està en la llista de revocació. El primer protocol està basat en un argument d'avaluació de polinomis, i algun dels seus principals avantatges és que té cost de comunicació logarítmica en el nombre d'usuaris revocats en contrast amb altres protocols amb complexitat cúbica en el millor cas, per tant s'obté un protocol més eficient i a més la seva seguretat depèn solament de la conjectura del logaritme discret. El segon protocol està basat en un protocol per a situacions especials quan els elements de la llista de revocació són coprimers, com en la signatura basada en atributs els elements són primers, aquest protocol va ser considerat com a adient. Mentre s'estava demostrant la solidesa del protocol ens vam adonar que el protocol original no era segur perquè vam trobar un atac (que està descrit en el projecte). Per tant, un nou protocol segur va ser dissenyat que serveix per a la signatura basada en atributs. Finalment, els protocols previs han sigut incorporats a la signatura RSA basada en atributs existent, i les dues signatures resultants han sigut analitzades en termes de l'eficiència del cost de comunicació. El segon protocol es demostra que sempre és més eficient que el primer, fins i tot en el cas d'un sol usuari revocat.

[en] An attribute-based signature with respect to a signing policy chosen by the signer, convinces the verifier that the signer sustains a subset of attributes satisfying that signing policy. The verifier must not obtain any other information about the identity of the signer or the attributes he holds. This type of signatures have a lot of applications in real life scenarios that demand both authentication and privacy properties. The ability of revoking users that have misbehaved or lost their attributes, so that they can not compute more valid signatures, is very desirable for real life applications of attribute-based signatures. In this project, the main goal consists in studying different protocols of revocation and incorporating them into an already existing RSA attribute-based signature. In order to achieve these objectives, two different protocols were chosen from those available in the literature, taking into account the efficiency of the existing protocols and the necessity that the protocol is built in an anonymous way: the user must not reveal his identity when proving that he is not in the revocation list. The first one is based on a polynomial evaluation argument, and some of its main advantages are that this argument has logarithmic communication cost in the number of revoked users in contrast to other protocols with cubic root complexity at best, thus obtaining a more efficient protocol and besides its security relies only on the discrete logarithm assumption. The second one was based on a protocol for special cases when the revoked elements are coprime, since in the attribute based signature the elements are prime, this protocol was considered suitable. While demonstrating its soundness it was found that the original protocol was not secure because we found a particular attack (that we describe in this work). Thus, a new secure protocol was designed which fits with the attribute-based signature. Finally, the previous protocols have been incorporated into an existing RSA attribute-based signature scheme, and both resulting signatures have been analyzed in terms of efficiency of the communication cost. The second protocol is shown to be always more efficient than the first one, even for the case with a single revoked user.