Криптоанализ ГОСТа 28147-89

Криптоанализ ГОСТ 28147-89

Криптоалгоритм ГОСТ 28147-89 был разработан на начальном этапе развития блочного шифрования спецслужбами СССР. Алгоритм не был запатентован, поэтому может быть бесплатно использован в коммерческих приложениях

Чтобы передать данные, их разбивают на блоки. Каждый состоит из 64 бит. Чтобы их зашифровать, необходимо использовать ключ большего размера. Используется ключ размером 256 бит. Для шифрования реализуется классическая сеть Фейстеля, состоящая из 32 раундов с двумя ветвями.

Раунды получаются из разбиения 256 бит ключа на 8 групп <math>{K}_i</math> по 32 бита. Части ключа применяются в прямом порядке 4 раза. Для дешифрования используется тот же код, но в обратном порядке. Данный процесс называется схемой развертывания ключа.

Чтобы зашифровать текст, необходимо разбить его на левую <math>L</math> и правую <math>R</math> половину. На <math>i</math>-м этапе используется <math>{K}_i</math> часть ключа:

<math>{L}_i = {R}_i-1</math>

<math>{R}_i = {L}_{i-1} \oplus f(R_{i-1}, K_i)</math>

Функция <math>f</math> состоит в следующем : <math>R_{i-1}</math> и <math>K_i</math> складываются по модулю <math>2^{32}.</math> Результат делится на 8 частей по 4 бита каждый. Затем каждая часть поступает в свой <math>S</math>-блок (перестановка чисел от 0 до 15). Выходная последовательность объединяется в 32-битное слово и сдвигается на 11 битов влево. Результат с помощью XOR объединяется с левой половиной, получается новая правая половина. Так повторяется 32 раза. В этом заключается криптоалгоритм ГОСТ 28147-89.

Краткий обзор криптоатак

Название работы	Количество раундов ГОСТ	Количество текста (ОТ — открытого, СПТ — специально подобранного)	Вычислительная сложность
Атака скольжения на модифицированный ГОСТ	20(<math>\oplus</math>)	<math>2^{33}</math>(ОТ)	<math>2^{70}</math>
Метод рационального продолжения	32	несколько десятков(СПТ)	<math>10^{10}</math>
1R атака на связанных ключах	32	<math>2^{35}</math>(СПТ)	<math>2^{36}</math>
Улучшенная атака скольжения	24	<math>2^{64}</math>(ОТ)	<math>2^{63}</math>
Атаки О. Кара	30	<math>2^{32}</math>(СПТ)	<math>2^{224}</math>
Атака методом бумеранга	32	<math>2^{10}</math> пар открытого/зашифрованного текста	<math>2^{26}</math>
Атаки Исобе	32	<math>2^{32}</math>(ОТ)	<math>2^{224}</math>
Атаки Динура-Данкельмана-Шамира	32	<math>2^{64}</math>(ОТ)	<math>2^{192}</math>
Атаки Динура-Данкельмана-Шамира	8	<math>2^{32}</math>(ОТ)	<math>2^{224}</math>
Атака на шифросистему с 12 связанными ключам	8	от <math>2^{50}</math> до <math>2^{106}</math>(СПТ)	<math>2^{60}</math>
Алгебраический анализ	32	<math>2^{38}</math>(ОТ)	<math>2^{32}</math>

Атаки на схему развертывания ключа

4R атака на 24-раундовый ГОСТ

В работе применяется атака на связанных ключах. Атакующий использует парадокс дней рождений, чтобы найти пары для скольжения <math>(P_1, P_2)</math> такие, что <math>P_2 = f_k(P_1)</math>. Шифротексты <math>(C_1, C_2)</math> также сохранят зависимость: <math>C_2 = f_k(C_1)</math>. Такая атака может быть проведена только при условии, что <math>f_k</math> могут быть взломаны с помощью двух известных пар текста, что случается не всегда.

Используется тройка однораундовых характеристик <math>A \rightarrow B \rightarrow C \rightarrow A</math>, не длиннее 4 бит, где каждая характеристика проходит через один активный <math>S</math> блок. В <math>A</math> входной отличительный признак находится в старших битах. В <math>B</math> в младших битах выходной отличительный признак отсутствует, <math>B</math> получено с помощью функции сети Фейстеля из <math>A</math>. Далее выходной отличительный признак сдвигается раундовой функцией на 11 бит. Три ненулевых бита из <math>B</math> попадают на вход активного <math>S</math>-блока второго раунда, получаем <math>C</math>. Теперь входной отличительный признак отсутствует в трех старших битах, и мы можем получить из <math>C</math> <math>A</math>. То есть за счет сдвига отличительные признаки остались на тех же местах, что и были в первом раунде.

Авторы атаки подсчитали вероятность нахождения таких зависимостей для 12-раундов стандартного набора <math>S</math>-блоков. Она равна <math>2^{-68}</math>, что недостаточно для взлома криптосистемы. В случае вероятностной генерации блоков, вероятность появления таких зависимостей варьировалась от <math>2^{-43}</math> до <math>2^{-80}</math>.

Атака скольжения на модифицированный ГОСТ

В работе была произведена атака скольжения, не зависящая от числа раундов, на модифицированный ГОСТ 28147-89. Вместо сложения с ключом использовалась операция исключающего или. С помощью предложенной атаки можно вскрыть только алгоритмы, раунды которых обладают существенным сходством. Имея две пары текстов, связанные между собой лишь одним раундом шифрования, криптоаналитик способен получить значение ключа для любого раунда.

Авторы доказали необходимость введения с 24 раунда обратного хода ключа для ГОСТ 28147-89, чтобы криптоалгоритм противостоял атакам скольжения. В случае, если вместо сложения с ключом используется операция исключающего или будет найдено порядка <math>2^{128}</math> слабых ключей.

Для 20-раундового ГОСТ 28147-89(<math>\oplus</math>) используется следующий ключ K4 K5 K6 K7 K0 K1 K2 K3 K4 K5 K6 K7 K7 K6 K5 K4 K3 K2 K1 K0 K0 K1 K2 K3 K4 K5 K6 K7 K7 K6 K5 K4 K3 K2 K1 K0 K7 K6 K5 K4. Пусть провели 4 раунда ГОСТ 28147-89, тогда используя <math>2^{33}</math> открытых текстов, авторы ожидали найти две пары для скольжения <math>(P', C')</math>. Свойство пары: <math>P' = f(P),C' = f(C)</math>. Каждая пара дала бы две входные/выходные пары для поиска <math>f</math>. Как только найдена пара, шифр взломан из-за уязвимости к атаке с известным открытым текстом. Взлом <math>f</math> по двум текстам сравним с временем выполнения 4 раундов ГОСТ 28147-89 <math>2^{9}</math> раза. После нахождения K4 K5 K6 K7 ищутся оставшиеся подключи с помощью поиска фиксированных точек. Предложенная атака, потребовавшая <math>2^{33}</math> открытых текстов, <math>2^{70}</math> времени и <math>2^{65}</math> памяти, работает для любых <math>S</math>-блоков, но затраты памяти делают её не реализуемой.

1R атака на связанных ключах

Специалисты из Кореи предложила атаку с помощью которой, используя дифференциальный криптоанализ на связанных ключах, можно получить с вероятностью 91,7 % 12 бит секретного ключа. Для атаки требуется <math>2^{35}</math> выбранных открытых текстов и <math>2^{36}</math> операций шифрования.

Возможность нахождения дифференциальных характеристик зависит не только от входных-выходных зависимостей, но и от подключей. Чтобы уменьшить данный эффект были выбраны специфические дифференциальные характеристики.

Предлагается атака распознавания ГОСТ 28147-89 от случайной последовательности (вероятность успеха <math>1 - 2^{-64}</math>). Пусть дан открытый текст <math>P</math> и ключ <math>K = (K1...K8)</math> и открытый текст <math>P'</math> и ключ <math>K' = (K1\oplus e32...K8\oplus e32)</math>. Сам ключ не известен, но известно соотношение <math>K' \oplus K = (e, ..., e)</math>. Для ГОСТ 28147-89 сохранится зависимость и в шифротексте <math>C \oplus C' = (e, ..., e)</math> для любого раунда. Для рандомной же последовательности после каждого раунда мы не сможем предсказать зависимости. Так можно отличать ГОСТ 28147-89 от рандомного алгоритма с вероятностью <math>1 - 2^{-64}</math>.

Для атаки на 31-раундовый ГОСТ 28147-89 были использованы следующие зависимости у ключей : <math>K = (K1...K8), K' = (K1\oplus e...K7\oplus e32, K8)</math>, шифротексты <math>P = (Pl, Pr)</math> и <math>P' = (Pl, Pr\oplus e32)</math>. Данная зависимость сохранялась 24 раунда. Для следующих 6 раундов используются вероятностные зависимости между отличительными признаками. С вероятностью <math>2^{-23.33}</math> можно будет атаковать криптосистему, зная зависимость между двумя ключами. Создатели статьи смогли восстановить 32 бита ключа с 97,9 % успеха.

Был предложен алгоритм атаки на полный ГОСТ 28147-89 с успешным открытием 12 бит ключа. Пусть <math>P = (Pl, Pr)</math> и <math>P' = (Pl \oplus e32, Pr \oplus e32)</math> с ключами <math>K = (K1, ... ,K8)</math> и <math>K' = (K1\oplus e32, K2\oplus e32, ... ,K8\oplus e32)</math>. Тогда после каждого раунда зависимость исчезнет с вероятностью <math>2^{-1}</math>. Вероятность создания 30 раундовой дифференциальной характеристики равна <math>2^{-30}</math>. Вероятность успешности такой атаки 0.917.

Улучшенная атака скольжения

Были опробованы улучшенные атаки скольжения на 24 раунда ГОСТ 28147-89, основанные на слабостях алгоритма развертывания ключа и раундовой функции. Они существенно уменьшают время, необходимое на атаку. Однако так атаковать можно только 24-раундовый ГОСТ 28147-89 со слабыми ключами и неизвестными <math>S</math>-блоками, либо 30-раундовый ГОСТ 28147-89 с известными <math>S</math>-блоками.

Авторы вместо поиска пар для скольжения с помощью парадокса дней рождения используют циклическую структуру функции продолжения ключа и круговых функций. Найденные пары могут быть использованы в атаке с известным открытым текстом или, если достаточно пар найдено, — в атаке с избранным открытым текстом. Атака на <math>f_k</math> выполняется только один раз, вне зависимости от свойств <math>f_k</math>.

Атака начинается с открытого текста <math>P</math>. Шифрование повторяется пока не будет снова получен <math>P</math>. Когда это произошло — мы нашли цикл, кроме того, он не зависит ни от <math>f_k</math>, ни от его длины. Найденные пары для скольжения — это <math>(P,E^{d}_k(P))</math> и <math>(E^t_k(P),E^{d+t}_k(P))</math>, где <math>E_k</math> — процедура расширения ключа. Для случайной величины <math>x</math> матожидание длины цикла <math>E[CycleLength(x)] = 2^{n-1}</math>, поэтому авторы и находили <math>2^{n-1}</math> пар для скольжения. Учитывая независимость длины циклов друг от друга, после <math>t</math> атак вероятность успеха была равна <math>1 - {(1 - \phi(l)/l)}^t</math>, где <math>\phi(l)</math> — функция Эйлера, <math>l</math> : <math>E_k = f^l_k</math>.

Атаки на алгоритм шифрования

Метод рационального продолжения

Ростовцев предложил следующий метод. В основе лежит продолжение кольца <math>G_n</math>(многочленов Жегалкина)на упорядоченное множество <math>Q</math> рациональных чисел с евклидовым нормированием и на множество <math>Z_2</math> целых 2-адических чисел с 2-адическим неевклидовым нормированием. Это позволяет задать метрику для подсчета расстояния между тестируемым ключом и истинным. Криптоанализ построен на поиске локального максимума продолженной целевой функции в предположении, что истинное значение ключа дает увеличение продолженной целевой функции.

Метод состоит из нескольких этапов. На первом этапе для каждого бита ключа составляется статистический «нулевой и единичный портреты шифра» при некоторых приближениях. На втором этапе для неизвестного ключа составляется аналогичный «портрет». Далее решается задача определения, на какой (нулевой или единичный) «портрет» он больше похож. Данный метод позволяет строить статистику на основе нескольких открытых текстов.

В основе лежит предположение: вероятность правильного вскрытия бита ключа превышает 0,5 и не зависит от вида разреженных открытых текстов. В этом случае сложность криптоанализа определяется первыми двумя этапами и практически не превышает <math>10^{10}</math>. Тогда ключ ГОСТ 28147-89 может быть вскрыт с малой сложностью на основе нескольких десятков подобранных открытых текстов.

Атаки О. Кара

Были изданы две работы O. Кара об атаке на ГОСТ 28147-89, обладающей особыми свойствами ключей, и на 30-раундовый ГОСТ 28147-89. Используется предположение биективности <math>S</math>-блоков, зависимости между шифрованием и расшифрованием данных.

Запишем алгоритм ГОСТ 28147-89 в следующем виде: <math>E_k = f_k[8,1] \circ S \circ f_k^3[1,8]</math>, где <math>f_k[8,1]</math> — инвертированная <math>f_k[1,8]</math>, <math>S</math> — операция замены. Пусть существует фиксированная точка <math>x</math> такая, что <math>S(x) = x</math> и <math>f_k[1, 8](x) = x</math>. Таких ключей <math>2^{224}</math> штук. Тогда <math>x</math> — фиксированная точка и для функции <math>E_k</math>. Атака будет следующая: зашифруем <math>2^{32}</math> текста, чьи левые и правые части одинаковые. Соберем все фиксированные точки в массив <math>U</math>. Если массив пуст, то атаку провести нельзя. Иначе решим выражение для всех <math>x</math> из <math>U</math> <math>f_k[1, 8](x)= x</math> для <math>K</math>. Таких решений найдется <math>2^{192}</math> штук. Для каждого предполагаем <math>k0, k1, ..., k5</math> и затем определяем <math>k6</math> и <math>k7</math> из системы, учитывающей биективность <math>f_{k6}</math> и <math>f_{k7}</math>. Ищем обратные функции от <math>f_{k6}</math> и <math>f_{k7}</math>, определяем входные данные, а затем и <math>k6</math> и <math>k7</math>.

Вторая предложенная атака — это атака с открытым ключом на 30-раундовый ГОСТ 28147-89. Функция шифрования выглядит следующим образом <math>E^{(30)}_k(x) = f_k[8,1] \circ S\circ f_k^2[1, 8] \circ f_k[3, 8](x)</math>. У <math>S</math> имеется <math>2^{32}</math> фиксированных точек, тогда по доказанной О. Кара лемме у <math>f_k[8,1] \circ S\circ f_k^2[1, 8]</math> тоже <math>2^{32}</math>. Пусть <math>y</math> — одна из фиксированных точек, <math>x</math> — соответствующий открытый текст. Имеем <math>E^{(30)}_k(x) = y = f_k[1, 8] \circ f_k[3, 8](x)</math>. Предположив значения <math>k2, k3, ..., k7</math>, мы получим двух раундовую сеть Фейстеля с ключами <math>k0,\ k1</math> и входной/выходной парой <math>(f_k[3, 8](x), f_k[8, 3](y))</math>. Тогда восстановим <math>k0</math> и <math>k1</math> путём обращения круговой функции. Искомый ключ будет одним из <math>2^{192}</math> вариантов.

Атака методом бумеранга

В работе приведена атака на алгоритм блочного шифрования ГОСТ 28147-89 на основе метода бумеранга со связанными ключами, которая содержит ряд ошибок и на самом деле не работает. Однако основная идея работы позволяет подправить атаку и, внеся дополнительные модификации, получить работающий алгоритм.

В работе проведен разбор, показано, что предложенная атака не быстрее полного перебора. Так же Рудской предлагает новую атаку. Для нахождения всего ключа шифрования при использовании <math>S</math>-блоков требуется 18 связанных ключей и проводится <math>2^{26}</math> зашифрований. Однако есть ряд случаев, к которым эти результаты неприменимы. Если подстановка s8 обладает линейным транслятором, то невозможно различить истинные биты ключа от ложных с помощью представленного в работе различителя. Также данный различитель не позволяет найти раундовые ключи 25- и 26-го раундов. Тем самым определяются только 192 бита ключа шифрования. Для этого требуется 14 связанных ключей.

Атака методом бумеранга состоит из двух шагов — различительного и восстановительного. В процессе различительного шага атакующий ищет правильные пары открытого текста, чтобы разница между ними была <math>E0</math> и <math>E1</math>(4 текста). Далее делается попытка, используя известные соотношения между входными и выходными различиями найденных пар, восстановить некоторые ключевые биты. Для атаки предположим, что атакующий может шифровать и расшифровывать любой нужный ему текст с помощью ключа, чью разницу с другим известным ему ключом он может установить. ГОСТ 28147-89 представляется в виде <math>E = E0 \circ E1</math>, где <math>E0</math> представляет первые 24 раунда, <math>E1</math> — оставшиеся. Известны следующие зависимости между ключами : <math>\alpha \rightarrow \beta = (0, e31)\rightarrow (0, e31)</math> для <math>E0</math> и <math>\gamma \rightarrow \delta = (0, 0)\rightarrow (e7, 0)</math> для <math>E1</math>. Используя дифференциальные характеристики, восстанавливаются все биты ключа.

Атаки Исобе и Динура-Данкельмана-Шамира

Общая идея атак Исобе и Динура-Данкельмана-Шамира заключается в построении для зависящего от ключа узкого множества открытых текстов эквивалентного на этом множестве преобразования, имеющего более простую, чем само шифрующее преобразование, структуру. При попадании открытого текста в это множество результат полного 32-раундового преобразования ГОСТ 28147-89 совпадает с результатом 16-раундового, что и эксплуатируется автором атаки. Для всякого открытого текста из этого множества преобразование ГОСТ 28147-89 работает в точности так же, как последние его 8 раундов, что и упрощает анализ.

Трудоемкость атаки Исобе составляет <math>2^{224}</math> операций зашифрования, атаки Динура-Данкельмана-Шамира — <math>2^{192}</math>. Для метода Исобе требуется <math>2^{32}</math> пар открытых и шифрованных текстов, а для метода ДДШ — <math>2^{64}</math>. Обработка таких объемов материала без смены ключа априорно неприемлема для любого блочного шифра с длиной блока 64.

Атаки Куртуа

Куртуа использует несколько модифицированный вариант дифференциального метода. В работе приводятся дифференциальные характеристики для малого числа раундов. Однако такая атака оказывается не лучше полного перебора.

Атака на шифросистему с 12 связанными ключам

Пудовкина провела атаку на шифросистему с 12 связанными ключами. Она основана на комбинации методов бумеранга и связанных ключей и для произвольного <math>S</math>-блока позволяет найти все 256 бит ключа шифрования. В ряде случаев ключ шифрования может быть найден на ЭВМ за приемлемое время. Число связанных ключей зависит от (вероятностных) свойств <math>S</math>-блока. Недостатком атаки является её применимость только к некоторому множеству <math>S</math>-блоков.

Далее была проведена модификация атаки, позволяющая восстановить весь ключ шифрования с 12 связанными ключами для произвольного <math>S</math>-блока. При наличии линейного транслятора для его нахождения используется модификация различителя. Для восстановления раундовых ключей 25- и 26-го раундов применяется разностная характеристика. Предложенный способ нахождения ключа шифрования состоит из двух этапов. На первом этапе методом бумеранга со связанными ключами определяются множества кандидатов в раундовые ключи 32- и 31-го раундов, используя четверку связанных ключей. На втором этапе находятся множества кандидатов в раундовые ключи 30, 29, …, 25-го раундов разностным методом со связанными ключами. Каждый из этапов предполагает наличие двух модификаций в зависимости от свойств подстановки <math>s_8</math>(подключ).

Алгебраический анализ

В 2014 году вышла в свет работа, Бабенко Л. К. и Маро Е. А. провели алгебраический анализ ГОСТ 28147-89, получили системы уравнений для различных размеров таблиц нелинейных преобразований замены упрощенного алгоритма шифрования ГОСТ 28147-89, решили одну из систем методом XSL. Был проведен анализ полученных нелинейных систем и выполнена оценка трудоемкости метода XSL алгебраического криптоанализа для восьми блоков замены. Для алгоритма ГОСТ 28147-89 вычисление блоков замены потребовало выполнения не более <math>2^{32}</math> операций зашифрования для однозначного определения <math>S</math> блоков.

Поскольку сложность анализа во многом зависит от числа анализируемых раундов, то используется метод сокращения числа раундов. Если на входе 25 раунда левая и правая части входного значения будут равны, то в последних восьми раундах будет выполнено расшифрование предыдущих восьми раундов. Таким образом, атака с выбранным открытым текстом методом дифференциального или алгебраического анализа будет выполняться всего над 16 раундами вместо 32. Авторами работы предлагается алгоритм поиска таких текстов. Среди <math>2^{38}</math> открытых текстов были найдены 69 текстов, удовлетворяющих условиям поиска.

Литература

• Панасенко Сергей Петрович. 3.1. Алгоритм ГОСТ 28147-89 § Криптойкость алгоритма // Алгоритмы шифрования. Специальный справочник. — БХВ-Петербург, 2009. — С. 79-82. — 564 с. — ISBN 9785977503198.

Ссылки

• Е. К. Алексеев, С. В. Смышляев. [www.cryptopro.ru/blog/2013/08/27/gost-28147-89-ne-speshi-ego-khoronit-chast-1-stoikost-algoritma#Webcomments ГОСТ 28147-89: «Не спеши его хоронить». Часть 1. Стойкость алгоритма]. Блог компании КриптоПро (27 август 2013). Проверено 22 мая 2015.

Отрывок, характеризующий Криптоанализ ГОСТа 28147-89

Маленькая княгиня потолстела за это время, но глаза и короткая губка с усиками и улыбкой поднимались так же весело и мило, когда она заговорила.
– Mais c'est un palais, – сказала она мужу, оглядываясь кругом, с тем выражением, с каким говорят похвалы хозяину бала. – Allons, vite, vite!… [Да это дворец! – Пойдем скорее, скорее!…] – Она, оглядываясь, улыбалась и Тихону, и мужу, и официанту, провожавшему их.
– C'est Marieie qui s'exerce? Allons doucement, il faut la surprendre. [Это Мари упражняется? Тише, застанем ее врасплох.]
Князь Андрей шел за ней с учтивым и грустным выражением.
– Ты постарел, Тихон, – сказал он, проходя, старику, целовавшему его руку.
Перед комнатою, в которой слышны были клавикорды, из боковой двери выскочила хорошенькая белокурая француженка.
M lle Bourienne казалась обезумевшею от восторга.
– Ah! quel bonheur pour la princesse, – заговорила она. – Enfin! Il faut que je la previenne. [Ах, какая радость для княжны! Наконец! Надо ее предупредить.]
– Non, non, de grace… Vous etes m lle Bourienne, je vous connais deja par l'amitie que vous рorte ma belle soeur, – говорила княгиня, целуясь с француженкой. – Elle ne nous attend рas? [Нет, нет, пожалуйста… Вы мамзель Бурьен; я уже знакома с вами по той дружбе, какую имеет к вам моя невестка. Она не ожидает нас?]
Они подошли к двери диванной, из которой слышался опять и опять повторяемый пассаж. Князь Андрей остановился и поморщился, как будто ожидая чего то неприятного.
Княгиня вошла. Пассаж оборвался на середине; послышался крик, тяжелые ступни княжны Марьи и звуки поцелуев. Когда князь Андрей вошел, княжна и княгиня, только раз на короткое время видевшиеся во время свадьбы князя Андрея, обхватившись руками, крепко прижимались губами к тем местам, на которые попали в первую минуту. M lle Bourienne стояла около них, прижав руки к сердцу и набожно улыбаясь, очевидно столько же готовая заплакать, сколько и засмеяться.
Князь Андрей пожал плечами и поморщился, как морщатся любители музыки, услышав фальшивую ноту. Обе женщины отпустили друг друга; потом опять, как будто боясь опоздать, схватили друг друга за руки, стали целовать и отрывать руки и потом опять стали целовать друг друга в лицо, и совершенно неожиданно для князя Андрея обе заплакали и опять стали целоваться. M lle Bourienne тоже заплакала. Князю Андрею было, очевидно, неловко; но для двух женщин казалось так естественно, что они плакали; казалось, они и не предполагали, чтобы могло иначе совершиться это свидание.
– Ah! chere!…Ah! Marieie!… – вдруг заговорили обе женщины и засмеялись. – J'ai reve сette nuit … – Vous ne nous attendez donc pas?… Ah! Marieie,vous avez maigri… – Et vous avez repris… [Ах, милая!… Ах, Мари!… – А я видела во сне. – Так вы нас не ожидали?… Ах, Мари, вы так похудели. – А вы так пополнели…]
– J'ai tout de suite reconnu madame la princesse, [Я тотчас узнала княгиню,] – вставила m lle Бурьен.
– Et moi qui ne me doutais pas!… – восклицала княжна Марья. – Ah! Andre, je ne vous voyais pas. [А я не подозревала!… Ах, Andre, я и не видела тебя.]
Князь Андрей поцеловался с сестрою рука в руку и сказал ей, что она такая же pleurienicheuse, [плакса,] как всегда была. Княжна Марья повернулась к брату, и сквозь слезы любовный, теплый и кроткий взгляд ее прекрасных в ту минуту, больших лучистых глаз остановился на лице князя Андрея.
Княгиня говорила без умолку. Короткая верхняя губка с усиками то и дело на мгновение слетала вниз, притрогивалась, где нужно было, к румяной нижней губке, и вновь открывалась блестевшая зубами и глазами улыбка. Княгиня рассказывала случай, который был с ними на Спасской горе, грозивший ей опасностию в ее положении, и сейчас же после этого сообщила, что она все платья свои оставила в Петербурге и здесь будет ходить Бог знает в чем, и что Андрей совсем переменился, и что Китти Одынцова вышла замуж за старика, и что есть жених для княжны Марьи pour tout de bon, [вполне серьезный,] но что об этом поговорим после. Княжна Марья все еще молча смотрела на брата, и в прекрасных глазах ее была и любовь и грусть. Видно было, что в ней установился теперь свой ход мысли, независимый от речей невестки. Она в середине ее рассказа о последнем празднике в Петербурге обратилась к брату:
– И ты решительно едешь на войну, Andre? – сказала oia, вздохнув.
Lise вздрогнула тоже.
– Даже завтра, – отвечал брат.
– II m'abandonne ici,et Du sait pourquoi, quand il aur pu avoir de l'avancement… [Он покидает меня здесь, и Бог знает зачем, тогда как он мог бы получить повышение…]
Княжна Марья не дослушала и, продолжая нить своих мыслей, обратилась к невестке, ласковыми глазами указывая на ее живот:
– Наверное? – сказала она.
Лицо княгини изменилось. Она вздохнула.
– Да, наверное, – сказала она. – Ах! Это очень страшно…
Губка Лизы опустилась. Она приблизила свое лицо к лицу золовки и опять неожиданно заплакала.
– Ей надо отдохнуть, – сказал князь Андрей, морщась. – Не правда ли, Лиза? Сведи ее к себе, а я пойду к батюшке. Что он, всё то же?
– То же, то же самое; не знаю, как на твои глаза, – отвечала радостно княжна.
– И те же часы, и по аллеям прогулки? Станок? – спрашивал князь Андрей с чуть заметною улыбкой, показывавшею, что несмотря на всю свою любовь и уважение к отцу, он понимал его слабости.
– Те же часы и станок, еще математика и мои уроки геометрии, – радостно отвечала княжна Марья, как будто ее уроки из геометрии были одним из самых радостных впечатлений ее жизни.
Когда прошли те двадцать минут, которые нужны были для срока вставанья старого князя, Тихон пришел звать молодого князя к отцу. Старик сделал исключение в своем образе жизни в честь приезда сына: он велел впустить его в свою половину во время одевания перед обедом. Князь ходил по старинному, в кафтане и пудре. И в то время как князь Андрей (не с тем брюзгливым выражением лица и манерами, которые он напускал на себя в гостиных, а с тем оживленным лицом, которое у него было, когда он разговаривал с Пьером) входил к отцу, старик сидел в уборной на широком, сафьяном обитом, кресле, в пудроманте, предоставляя свою голову рукам Тихона.
– А! Воин! Бонапарта завоевать хочешь? – сказал старик и тряхнул напудренною головой, сколько позволяла это заплетаемая коса, находившаяся в руках Тихона. – Примись хоть ты за него хорошенько, а то он эдак скоро и нас своими подданными запишет. – Здорово! – И он выставил свою щеку.
Старик находился в хорошем расположении духа после дообеденного сна. (Он говорил, что после обеда серебряный сон, а до обеда золотой.) Он радостно из под своих густых нависших бровей косился на сына. Князь Андрей подошел и поцеловал отца в указанное им место. Он не отвечал на любимую тему разговора отца – подтруниванье над теперешними военными людьми, а особенно над Бонапартом.
– Да, приехал к вам, батюшка, и с беременною женой, – сказал князь Андрей, следя оживленными и почтительными глазами за движением каждой черты отцовского лица. – Как здоровье ваше?
– Нездоровы, брат, бывают только дураки да развратники, а ты меня знаешь: с утра до вечера занят, воздержен, ну и здоров.
– Слава Богу, – сказал сын, улыбаясь.
– Бог тут не при чем. Ну, рассказывай, – продолжал он, возвращаясь к своему любимому коньку, – как вас немцы с Бонапартом сражаться по вашей новой науке, стратегией называемой, научили.
Князь Андрей улыбнулся.
– Дайте опомниться, батюшка, – сказал он с улыбкою, показывавшею, что слабости отца не мешают ему уважать и любить его. – Ведь я еще и не разместился.
– Врешь, врешь, – закричал старик, встряхивая косичкою, чтобы попробовать, крепко ли она была заплетена, и хватая сына за руку. – Дом для твоей жены готов. Княжна Марья сведет ее и покажет и с три короба наболтает. Это их бабье дело. Я ей рад. Сиди, рассказывай. Михельсона армию я понимаю, Толстого тоже… высадка единовременная… Южная армия что будет делать? Пруссия, нейтралитет… это я знаю. Австрия что? – говорил он, встав с кресла и ходя по комнате с бегавшим и подававшим части одежды Тихоном. – Швеция что? Как Померанию перейдут?
Князь Андрей, видя настоятельность требования отца, сначала неохотно, но потом все более и более оживляясь и невольно, посреди рассказа, по привычке, перейдя с русского на французский язык, начал излагать операционный план предполагаемой кампании. Он рассказал, как девяностотысячная армия должна была угрожать Пруссии, чтобы вывести ее из нейтралитета и втянуть в войну, как часть этих войск должна была в Штральзунде соединиться с шведскими войсками, как двести двадцать тысяч австрийцев, в соединении со ста тысячами русских, должны были действовать в Италии и на Рейне, и как пятьдесят тысяч русских и пятьдесят тысяч англичан высадятся в Неаполе, и как в итоге пятисоттысячная армия должна была с разных сторон сделать нападение на французов. Старый князь не выказал ни малейшего интереса при рассказе, как будто не слушал, и, продолжая на ходу одеваться, три раза неожиданно перервал его. Один раз он остановил его и закричал:
– Белый! белый!
Это значило, что Тихон подавал ему не тот жилет, который он хотел. Другой раз он остановился, спросил:
– И скоро она родит? – и, с упреком покачав головой, сказал: – Нехорошо! Продолжай, продолжай.
В третий раз, когда князь Андрей оканчивал описание, старик запел фальшивым и старческим голосом: «Malbroug s'en va t en guerre. Dieu sait guand reviendra». [Мальбрук в поход собрался. Бог знает вернется когда.]
Сын только улыбнулся.
– Я не говорю, чтоб это был план, который я одобряю, – сказал сын, – я вам только рассказал, что есть. Наполеон уже составил свой план не хуже этого.
– Ну, новенького ты мне ничего не сказал. – И старик задумчиво проговорил про себя скороговоркой: – Dieu sait quand reviendra. – Иди в cтоловую.


В назначенный час, напудренный и выбритый, князь вышел в столовую, где ожидала его невестка, княжна Марья, m lle Бурьен и архитектор князя, по странной прихоти его допускаемый к столу, хотя по своему положению незначительный человек этот никак не мог рассчитывать на такую честь. Князь, твердо державшийся в жизни различия состояний и редко допускавший к столу даже важных губернских чиновников, вдруг на архитекторе Михайле Ивановиче, сморкавшемся в углу в клетчатый платок, доказывал, что все люди равны, и не раз внушал своей дочери, что Михайла Иванович ничем не хуже нас с тобой. За столом князь чаще всего обращался к бессловесному Михайле Ивановичу.
В столовой, громадно высокой, как и все комнаты в доме, ожидали выхода князя домашние и официанты, стоявшие за каждым стулом; дворецкий, с салфеткой на руке, оглядывал сервировку, мигая лакеям и постоянно перебегая беспокойным взглядом от стенных часов к двери, из которой должен был появиться князь. Князь Андрей глядел на огромную, новую для него, золотую раму с изображением генеалогического дерева князей Болконских, висевшую напротив такой же громадной рамы с дурно сделанным (видимо, рукою домашнего живописца) изображением владетельного князя в короне, который должен был происходить от Рюрика и быть родоначальником рода Болконских. Князь Андрей смотрел на это генеалогическое дерево, покачивая головой, и посмеивался с тем видом, с каким смотрят на похожий до смешного портрет.
– Как я узнаю его всего тут! – сказал он княжне Марье, подошедшей к нему.
Княжна Марья с удивлением посмотрела на брата. Она не понимала, чему он улыбался. Всё сделанное ее отцом возбуждало в ней благоговение, которое не подлежало обсуждению.
– У каждого своя Ахиллесова пятка, – продолжал князь Андрей. – С его огромным умом donner dans ce ridicule! [поддаваться этой мелочности!]
Княжна Марья не могла понять смелости суждений своего брата и готовилась возражать ему, как послышались из кабинета ожидаемые шаги: князь входил быстро, весело, как он и всегда ходил, как будто умышленно своими торопливыми манерами представляя противоположность строгому порядку дома.
В то же мгновение большие часы пробили два, и тонким голоском отозвались в гостиной другие. Князь остановился; из под висячих густых бровей оживленные, блестящие, строгие глаза оглядели всех и остановились на молодой княгине. Молодая княгиня испытывала в то время то чувство, какое испытывают придворные на царском выходе, то чувство страха и почтения, которое возбуждал этот старик во всех приближенных. Он погладил княгиню по голове и потом неловким движением потрепал ее по затылку.
– Я рад, я рад, – проговорил он и, пристально еще взглянув ей в глаза, быстро отошел и сел на свое место. – Садитесь, садитесь! Михаил Иванович, садитесь.
Он указал невестке место подле себя. Официант отодвинул для нее стул.
– Го, го! – сказал старик, оглядывая ее округленную талию. – Поторопилась, нехорошо!
Он засмеялся сухо, холодно, неприятно, как он всегда смеялся, одним ртом, а не глазами.
– Ходить надо, ходить, как можно больше, как можно больше, – сказал он.
Маленькая княгиня не слыхала или не хотела слышать его слов. Она молчала и казалась смущенною. Князь спросил ее об отце, и княгиня заговорила и улыбнулась. Он спросил ее об общих знакомых: княгиня еще более оживилась и стала рассказывать, передавая князю поклоны и городские сплетни.
– La comtesse Apraksine, la pauvre, a perdu son Mariei, et elle a pleure les larmes de ses yeux, [Княгиня Апраксина, бедняжка, потеряла своего мужа и выплакала все глаза свои,] – говорила она, всё более и более оживляясь.
По мере того как она оживлялась, князь всё строже и строже смотрел на нее и вдруг, как будто достаточно изучив ее и составив себе ясное о ней понятие, отвернулся от нее и обратился к Михайлу Ивановичу.
– Ну, что, Михайла Иванович, Буонапарте то нашему плохо приходится. Как мне князь Андрей (он всегда так называл сына в третьем лице) порассказал, какие на него силы собираются! А мы с вами всё его пустым человеком считали.
Михаил Иванович, решительно не знавший, когда это мы с вами говорили такие слова о Бонапарте, но понимавший, что он был нужен для вступления в любимый разговор, удивленно взглянул на молодого князя, сам не зная, что из этого выйдет.
– Он у меня тактик великий! – сказал князь сыну, указывая на архитектора.
И разговор зашел опять о войне, о Бонапарте и нынешних генералах и государственных людях. Старый князь, казалось, был убежден не только в том, что все теперешние деятели были мальчишки, не смыслившие и азбуки военного и государственного дела, и что Бонапарте был ничтожный французишка, имевший успех только потому, что уже не было Потемкиных и Суворовых противопоставить ему; но он был убежден даже, что никаких политических затруднений не было в Европе, не было и войны, а была какая то кукольная комедия, в которую играли нынешние люди, притворяясь, что делают дело. Князь Андрей весело выдерживал насмешки отца над новыми людьми и с видимою радостью вызывал отца на разговор и слушал его.
– Всё кажется хорошим, что было прежде, – сказал он, – а разве тот же Суворов не попался в ловушку, которую ему поставил Моро, и не умел из нее выпутаться?
– Это кто тебе сказал? Кто сказал? – крикнул князь. – Суворов! – И он отбросил тарелку, которую живо подхватил Тихон. – Суворов!… Подумавши, князь Андрей. Два: Фридрих и Суворов… Моро! Моро был бы в плену, коли бы у Суворова руки свободны были; а у него на руках сидели хофс кригс вурст шнапс рат. Ему чорт не рад. Вот пойдете, эти хофс кригс вурст раты узнаете! Суворов с ними не сладил, так уж где ж Михайле Кутузову сладить? Нет, дружок, – продолжал он, – вам с своими генералами против Бонапарте не обойтись; надо французов взять, чтобы своя своих не познаша и своя своих побиваша. Немца Палена в Новый Йорк, в Америку, за французом Моро послали, – сказал он, намекая на приглашение, которое в этом году было сделано Моро вступить в русскую службу. – Чудеса!… Что Потемкины, Суворовы, Орловы разве немцы были? Нет, брат, либо там вы все с ума сошли, либо я из ума выжил. Дай вам Бог, а мы посмотрим. Бонапарте у них стал полководец великий! Гм!…
– Я ничего не говорю, чтобы все распоряжения были хороши, – сказал князь Андрей, – только я не могу понять, как вы можете так судить о Бонапарте. Смейтесь, как хотите, а Бонапарте всё таки великий полководец!
– Михайла Иванович! – закричал старый князь архитектору, который, занявшись жарким, надеялся, что про него забыли. – Я вам говорил, что Бонапарте великий тактик? Вон и он говорит.
– Как же, ваше сиятельство, – отвечал архитектор.
Князь опять засмеялся своим холодным смехом.
– Бонапарте в рубашке родился. Солдаты у него прекрасные. Да и на первых он на немцев напал. А немцев только ленивый не бил. С тех пор как мир стоит, немцев все били. А они никого. Только друг друга. Он на них свою славу сделал.
И князь начал разбирать все ошибки, которые, по его понятиям, делал Бонапарте во всех своих войнах и даже в государственных делах. Сын не возражал, но видно было, что какие бы доводы ему ни представляли, он так же мало способен был изменить свое мнение, как и старый князь. Князь Андрей слушал, удерживаясь от возражений и невольно удивляясь, как мог этот старый человек, сидя столько лет один безвыездно в деревне, в таких подробностях и с такою тонкостью знать и обсуживать все военные и политические обстоятельства Европы последних годов.
– Ты думаешь, я, старик, не понимаю настоящего положения дел? – заключил он. – А мне оно вот где! Я ночи не сплю. Ну, где же этот великий полководец твой то, где он показал себя?
– Это длинно было бы, – отвечал сын.
– Ступай же ты к Буонапарте своему. M lle Bourienne, voila encore un admirateur de votre goujat d'empereur! [вот еще поклонник вашего холопского императора…] – закричал он отличным французским языком.
– Vous savez, que je ne suis pas bonapartiste, mon prince. [Вы знаете, князь, что я не бонапартистка.]
– «Dieu sait quand reviendra»… [Бог знает, вернется когда!] – пропел князь фальшиво, еще фальшивее засмеялся и вышел из за стола.
Маленькая княгиня во всё время спора и остального обеда молчала и испуганно поглядывала то на княжну Марью, то на свекра. Когда они вышли из за стола, она взяла за руку золовку и отозвала ее в другую комнату.
– Сomme c'est un homme d'esprit votre pere, – сказала она, – c'est a cause de cela peut etre qu'il me fait peur. [Какой умный человек ваш батюшка. Может быть, от этого то я и боюсь его.]
– Ax, он так добр! – сказала княжна.


Князь Андрей уезжал на другой день вечером. Старый князь, не отступая от своего порядка, после обеда ушел к себе. Маленькая княгиня была у золовки. Князь Андрей, одевшись в дорожный сюртук без эполет, в отведенных ему покоях укладывался с своим камердинером. Сам осмотрев коляску и укладку чемоданов, он велел закладывать. В комнате оставались только те вещи, которые князь Андрей всегда брал с собой: шкатулка, большой серебряный погребец, два турецких пистолета и шашка, подарок отца, привезенный из под Очакова. Все эти дорожные принадлежности были в большом порядке у князя Андрея: всё было ново, чисто, в суконных чехлах, старательно завязано тесемочками.
В минуты отъезда и перемены жизни на людей, способных обдумывать свои поступки, обыкновенно находит серьезное настроение мыслей. В эти минуты обыкновенно поверяется прошедшее и делаются планы будущего. Лицо князя Андрея было очень задумчиво и нежно. Он, заложив руки назад, быстро ходил по комнате из угла в угол, глядя вперед себя, и задумчиво покачивал головой. Страшно ли ему было итти на войну, грустно ли бросить жену, – может быть, и то и другое, только, видимо, не желая, чтоб его видели в таком положении, услыхав шаги в сенях, он торопливо высвободил руки, остановился у стола, как будто увязывал чехол шкатулки, и принял свое всегдашнее, спокойное и непроницаемое выражение. Это были тяжелые шаги княжны Марьи.