Эллиптическая криптография

Эллиптическая криптография — раздел криптографии, который изучает асимметричные криптосистемы, основанные на эллиптических кривых над конечными полями. Основное преимущество эллиптической криптографии заключается в том, что на сегодняшний день неизвестно существование субэкспоненциальных алгоритмов решения задачи дискретного логарифмирования. Использование эллиптических кривых для создания криптосистем было независимо предложено Нилом Коблицем (англ.) и Виктором Миллером (англ.) в 1985 году.

Введение

В 1985 году независимо Нилом Коблицем и Виктором Миллером было предложено использовать в криптографии алгебраические свойства эллиптических кривых. С этого момента началось бурное развитие нового направления криптографии, для которого используется термин криптография на эллиптических кривых. Роль основной криптографической операции выполняет операция скалярного умножения точки на эллиптической кривой на данное целое число, определяемая через операции сложения и удвоения точек эллиптической кривой. Последние, в свою очередь, выполняются на основе операций сложения, умножения и инвертирования в конечном поле, над которыми рассматривается кривая. Особый интерес к криптографии эллиптических кривых обусловлен теми преимуществами, которые дает её применение в беспроводных коммуникациях - высокое быстродействие и небольшая длина ключа. Асимметричная криптография основана на сложности решения некоторых математических задач. Ранние криптосистемы с открытым ключом, такие как алгоритм RSA, криптостойки благодаря тому, что сложно разложить составное число на простые множители. При использовании алгоритмов на эллиптических кривых полагается, что не существует субэкспоненциальных алгоритмов для решения задачи дискретного логарифмирования в группах их точек. При этом порядок группы точек эллиптической кривой определяет сложность задачи. Считается, что для достижения такого же уровня криптостойкости как и в RSA, требуются группы меньших порядков, что уменьшает затраты на хранение и передачу информации. Например, на конференции RSA 2005 Агентство национальной безопасности объявило о создании “Suite B”, в котором используются исключительно алгоритмы эллиптической криптографии, причём для защиты информации классифицируемой до “Top Secret” используются всего лишь 384-битные ключи.

Эллиптические кривые над конечными полями

Эллиптической кривой называется множество точек <math>(x,y)</math>, удовлетворяющих уравнению:

<math>y^2+a_1xy+a_3y=x^3+a_2x^2+a_4x+a_6</math>

Это уравнение может рассматриваться над произвольными полями и, в частности, над конечными полями, представляющими для криптографии особый интерес.

В криптографии эллиптические кривые рассматриваются над двумя типами конечных полей: простыми полями нечётной характеристики (<math>\mathbb{Z}_p</math>, где <math>p > 3</math> — простое число) и полями характеристики 2 (<math>GF(2^m)</math>).

Эллиптические кривые над полями нечётной характеристики

Над полем <math>\mathbb{Z}_p</math> характеристики <math>p>3</math> уравнение эллиптической кривой E можно привести к виду:

<math>E:\quad y^2 = x^3 + Ax + B \pmod p,</math>

где <math>A, B \in \mathbb{Z}_p</math> — константы, удовлетворяющие <math>4A^3 + 27B^2 \not\equiv 0 \pmod p</math>.

Группой точек эллиптической кривой E над полем <math>\mathbb{Z}_p</math> называется множество пар <math>(x,y)</math>, лежащих на E, объединённое с нулевым элементом <math>\mathcal{O}</math>:

<math>E(\mathbb{Z}_p) = \mathcal{O} \cup \left\{ (x, y) \in \mathbb{Z}_p \times \mathbb{Z}_p | y^2 \equiv x^3 + Ax + B \pmod p \right\}.</math>

Следует отметить, что в <math>\mathbb{Z}_p</math> у каждого ненулевого элемента есть либо два квадратных корня, либо нет ни одного, поэтому точки эллиптической кривой разбиваются на пары вида <math>(x, y)</math> и <math>(x, -y)</math>.

Пример

Рассмотрим эллиптическую кривую <math>y^2 = x^3 + 3x + 2</math> над полем <math>\mathbb{Z}_5</math>. На этой кривой, в частности, лежит точка <math>(1,1)</math>, так как <math>1^2 \equiv 1^3 + 3 \cdot 1 + 2 \pmod 5</math>.

Теорема Хассе

Теорема Хассе об эллиптических кривых утверждает, что количество точек на эллиптической кривой близко к размеру конечного поля:

<math>(\sqrt p - 1)^2 \leqslant |E(\mathbb{Z}_p)| \leqslant (\sqrt p + 1)^2,</math>

что влечёт:

<math>\left| |E(\mathbb{Z}_p)|-p\right| < 2\sqrt p + 1.</math>

Эллиптические кривые над полями характеристики 2

Над полем характеристики 2 рассматривают два вида эллиптических кривых:

• Суперсингулярная кривая

  <math>y^2+ay=x^3+bx+c</math>

• Несуперсингулярная кривая

  <math>y^2+axy=x^3+bx^2+c</math>

Особое удобство суперсингулярных эллиптических кривых в том, что для них легко вычислить порядок, в то время как вычисление порядка несуперсингулярных кривых вызывает трудности. Суперсингулярные кривые особенно удобны для создания самодельной ЕСС-криптосистемы. Для их использования можно обойтись без трудоёмкой процедуры вычисления порядка.

Проективные координаты

Для вычисления суммы пары точек на эллиптической кривой требуется не только несколько операций сложения и умножения в <math>\mathbb{F}_q</math>, но и операция обращения, то есть для заданного <math>x \in \mathbb{F}_q</math> нахождение такого <math>y \in \mathbb{F}_q</math>, что <math>xy = 1</math>, которая на один-два порядка медленнее, чем умножение. К счастью, точки на эллиптической кривой могут быть представлены в различных системах координат, которые не требуют использования обращения при сложении точек:

• в проективной системе координат каждая точка <math>(x,y)</math> представляется тремя координатами <math>(X,Y,Z)</math>, которые удовлетворяют соотношениям:

  <math>x = \frac{X}{Z}</math>, <math>y = \frac{Y}{Z}</math>.

• в системе координат Якоби точка также представляется тремя координатами <math>(X,Y,Z)</math> с соотношениями: <math>x = \frac{X}{Z^2}</math>, <math>y = \frac{Y}{Z^3}</math>.
• в системе координат Лопес-Дахаб (洛佩斯·達哈卜 кит. / Lopez-Dahab лат.) выполняется соотношение: <math>x = \frac{X}{Z}</math>, <math>y = \frac{Y}{Z^2}</math>.
• в модифицированной системе координат Якоби используются 4 координаты <math>(X,Y,Z,aZ^4)</math> с теми же соотношениями.
• в системе координат Чудновского-Якоби используется 5 координат <math>(X,Y,Z,Z^2,Z^3)</math>.

Важно отметить, что могут существовать различные именования — например, IEEE P1363-2000 называет проективными координатами то, что обычно называют координатами Якоби.

Шифрование/расшифрование с использованием эллиптических кривых

Первой задачей в рассматриваемой системе является шифрование открытого текста сообщения <math>m</math>, которое должно будет пересылаться в виде значения <math>x-y</math> (Как?) для точки <math>P_m</math>. Здесь точка <math>P_m</math> будет представлять шифрованный текст и впоследствии будет дешифроваться. Обратите внимание, невозможно закодировать сообщение просто координатой <math>x</math> или <math>y</math> точки, так как не все такие координаты имеются в <math>E_p(a, b)</math>.
Как и в случае системы обмена ключами, в системе шифрования, дешифрования в качестве параметров тоже рассматривается точка <math>G</math> и эллиптическая группа <math>E_p(a, b)</math>. Пользователь <math>A</math> выбирает личный ключ <math>n_A</math> и генерирует открытый ключ <math>P_A=n_AG</math>. Чтобы зашифровать и послать сообщение <math>P_m</math> пользователю <math>B</math>, пользователь <math>A</math> выбирает случайное положительное целое число <math>k</math> и вычисляет шифрованный текст <math>G_m</math>, состоящий из пары точек

<math>G_m = (kG, P_m + kP_B)</math>. При этом, Gm ≠ Pm, Gm - пара точек.

Заметим, что сторона <math>A</math> использует открытый ключ стороны <math>B</math>: <math>P_B</math>. Чтобы дешифровать этот шифрованный текст, <math>B</math> умножает первую точку в паре на секретный ключ <math>n_B</math> и вычитает результат из второй точки:
<math>(P_m + kP_B) - n_B(kG)=P_m + k(n_BG) - n_B(kG) = P_m + \cancel{kn_B(G)} - \cancel{kn_B(G)} = P_m</math>

Пользователь <math>A</math> замаскировал сообщение <math>P_m</math> с помощью добавления к нему <math>kP_B</math>. Никто, кроме этого пользователя не знает значения <math>k</math>, поэтому, хотя <math>P_B</math> и является открытым ключом, никто не сможет убрать маску <math>kP_B</math>. Однако, пользователь <math>A</math> включает в сообщение и "подсказку", которой будет достаточно, чтобы убрать маску тому, кто имеет личный ключ <math>n_B</math>. Противнику для восстановления сообщения придется вычислить <math>k</math> по данным <math>G</math> и <math>kG</math>, что представляется трудной задачей.

Арифметические операции с точками на эллиптической кривой не эквивалентны этим арифметическим операциям с их координатами.

Точки эллиптической кривой над конечным полем представляют собой группу. Умножение сводится к многократным удвоению и суммированию.

Например, G+G ≠ 2G (это разные операции), 2G + 2^115G = 2^115G + 2G (суммирование коммутативно);

2G = 2*G; 4G = 2*2G; 8G = 2*4G; 16G = 2*8G, и т. д. (для двух одинаковых точек - только операция удвоения);

25*G; 25 = 11001 (in binary); 25 = 1x2^1 + 0x2^2 + 0x2^3 + 1x2^4 + 1x2^5 = 16 + 8 + 1; 25G = 16G + 8G + G = 1*(2^4)G + 2*(2^3)G + 1*G (операция суммирования).

24G/3G = 24G * (3G^-1 mod P); 5G - 3G = 5G + (3G^-1 mod P); где 3G^-1 mod P -  modular multiplicative inverse.

Пример

Рассмотрим случай <math>p=751</math>, <math>E_p(-1,188)</math>, что соответствует кривой

<math>y^2=x^3-x+188</math> и <math>G=(0, 376)</math>.

Предположим, что пользователь <math>A</math> собирается отправить пользователю <math>B</math> сообщение, которое кодируется эллиптической точкой <math>P_m=(562, 201)</math>, и что пользователь <math>A</math> выбирает случайное число <math>k=386</math>. Открытым ключом <math>B</math> является <math>P_B=(201, 5)</math>. Имеем:

<math>386(0, 376)=(676, 558)</math>

<math>(562, 201) + 386(201, 5) = (385, 328)</math>.

Таким образом, пользователь <math>A</math> должен послать шифрованный текст <math>(676, 558),(385, 328)</math>.

Реализация шифрования

Конкретные реализации алгоритмов шифрования на эллиптической кривой описаны ниже. Здесь рассмотрим общие принципы эллиптической криптографии.

Набор параметров

Для использования эллиптической криптографии все участники должны согласовать все параметры, определяющие эллиптическую кривую, т.е. набор параметров криптографического протокола. Эллиптическая кривая определяется константами <math>a</math> и <math>b</math> из уравнения (2). Абелева подгруппа точек является циклической и задается одной порождающей точкой G. При этом кофактор <math>h = \frac{|E|}{n}</math>, где n — порядок точки G, должен быть небольшим (<math>h\le4</math>, желательно даже <math>h=1</math>).

Итак, для поля характеристики 2 набор параметров: <math>(m,f,a,b,G,n,h)</math>, а для конечного поля <math>\mathbb{Z}_p</math>, где <math>p>3</math>, набор параметров: <math>(p,a,b,G,n,h)</math>.

Существует несколько рекомендованных наборов параметров:

• NIST
• SECG

Для создания собственного набора параметров необходимо:

1. Выбрать набор параметров.
2. Найти эллиптическую кривую, удовлетворяющую этому набору параметров.

Для нахождения кривой для заданного набора параметров используются два метода:

• Выбрать случайную кривую, затем воспользоваться алгоритмом подсчета точек.
• Выбрать точки, после чего построить кривую по этим точкам, используя технику умножения.

Существует несколько классов криптографически «слабых» кривых, которых следует избегать:

• Кривые над <math>\mathbb{F}_{2^m}</math>, где <math>m</math> - не простое число. Шифрование на этих кривых подвержено атакам Вейля.
• Кривые с <math>|E(\mathbb{F}_q)| = q</math> уязвимы для атаки, которая отображает точки данной кривой в аддитивную группу поля <math>\mathbb{F}_q</math>.

Быстрая редукция (NIST-кривые)

Деление по модулю p (которое необходимо для операций сложения и умножения) может выполняться быстрее, если в качестве p выбрать простое число, близкое к степени числа 2. В частности, в роли p может выступать простое число Мерсенна. Например, хорошим выбором являются <math>p=2^{251} - 1</math> или <math>p = 2^{256} - 2^{32} - 2^9 - 2^8 - 2^7 - 2^6 - 2^4 - 1</math>. Национальный институт стандартов и технологий (NIST) рекомендует использовать подобные простые числа в качестве p.

Ещё одним преимуществом кривых, рекомендованных NIST, является выбор значения <math>a = -3</math>, что ускоряет операцию сложения в координатах Якоби.

Эллиптические кривые, рекомендованные NIST

NIST рекомендует 15 эллиптических кривых, многие из которых были получены Jerry Solinas (NSA) на базе наработок Neal Koblitz. В частности, FIPS 186-3 рекомендует 10 конечных полей. Некоторые из них:

• поля <math>\mathbb{F}_p</math>, где простое p имеет длину 192, 224, 256, 384 или 521 бит.
• поля <math>\mathbb{F}_{2^m}</math>, где m = 163, 233, 283, 409 или 571.

Причем для каждого конечного поля рекомендуется одна эллиптическая кривая. Эти конечные поля и эллиптические кривые выбраны, как часто ошибочно считается, из-за высокого уровня безопасности. По заявлениям NIST, их выбор был обоснован эффективностью программной реализации. Имеются сомнения в безопасности по крайней мере нескольких из них.

Размер ключа

Самым быстрым алгоритмам, решающим задачу дискретного логарифмирования на эллиптических кривых, таким как алгоритм Шенкса и ρ-метод Полларда, необходимо <math>O(\sqrt{n})</math> операций. Поэтому размер поля должен как минимум в два раза превосходить размер ключа. Например, для 128-битного ключа рекомендуется использовать эллиптическую кривую над полем <math>\mathbb{F}_p</math>, где p имеет длину 256 бит.

Самые сложные схемы на эллиптических кривых, публично взломанные к настоящему времени, содержали 112-битный ключ для конечного простого поля и 109-битный ключ для конечного поля характеристики 2. В июле 2009 года кластер из более чем двухсот Sony Playstation 3 за 3,5 месяца нашел 109-битный ключ. Ключ над полем характеристики 2 был найден в апреле 2004 года, с использованием 2600 компьютеров, в течение 17 месяцев.

Аналог обмена ключами по алгоритму Диффи-Хеллмана

Предположим, что абоненты А и Б хотят договориться о ключе, которым будут впоследствии пользоваться в некоторой классической криптосистеме. Прежде всего, они открыто выбирают какое-либо конечное поле <math>F_q</math> и какую-либо эллиптическую кривую <math>E</math> над ним. Их ключ строится по случайной точке <math>P</math> на этой эллиптической кривой. Если у них есть случайная точка <math>P</math>, то, например, её <math>x</math>-координата дает случайный элемент <math>F_q</math>, который можно затем преобразовать в <math>r</math>-разрядное целое число в <math>p</math>-ичной системе счисления (где <math>r q = p</math> ), и это число может служить ключом в их классической криптосистеме. Они должны выбрать точку <math>P</math> так, чтобы все их сообщения друг другу были открытыми и все же никто, кроме них двоих, ничего бы не знал о <math>P</math>.

Абоненты (пользователи) А и Б первым делом открыто выбирают точку <math>B</math> ∈ <math>E</math> в качестве «основания»; <math>B</math> играет ту же роль, что образующий <math>q</math> в системе Диффи-Хеллмана для конечных полей. Однако, не требуем, чтобы <math>B</math> была образующим элементом в группе точек кривой <math>E</math>. Эта группа может и не быть циклической. Даже если она циклическая, не будем тратить время на проверку того, что <math>B</math> – образующий элемент (или даже на нахождение общего числа N точек, которое нам не понадобится в последующем). Нам хотелось бы, чтобы порожденная В подгруппа была большой, предпочтительно того же порядка величины, что и сама <math>E</math>. Пока что предположим, что <math>B</math> – взятая открыто точка на <math>E</math> весьма большого порядка (равного либо <math>N</math>, либо большому делителю <math>N</math>).

Чтобы образовать ключ, <math>A</math> вначале случайным образом выбирает целое число <math>a</math>, сравнимое по порядку величины с <math>q</math> (которое близко к <math>N</math>); это число он держит в секрете. Он вычисляет <math>aB</math> ∈ <math>E</math> и передает эту точку открыто. Абонент Б делает то же самое: он выбирает случайно <math>b</math> и открыто передает <math>bB</math> ∈ <math>E</math>. Тогда используемый ими секретный ключ – это <math>P = abB</math> ∈ <math>E</math>. Оба пользователя могут вычислить этот ключ. Например, <math>A</math> знает <math>bB</math> (точка была передана открыто) и своё собственное секретное <math>a</math>. Однако любая третья сторона знает лишь <math>aB</math> и <math>bB</math>. Кроме решения задачи дискретного логарифмирования – нахождения а по <math>B</math> и <math>aB</math> (или нахождения <math>b</math> по <math>B</math> и <math>bB</math>) по-видимому, нет способа найти <math>abB</math>, зная лишь <math>bB</math> и <math>bB</math>.

Пример обмена ключами по схеме Диффи-Хеллмана

В качестве примера возьмем

<math>p=211</math>, <math>E_p(0, -4)</math>,

что соответствует кривой

<math>y^2=x^3-4</math> и <math>G=(2, 2)</math>.

Можно подсчитать, что <math>241G = </math><math>\mathcal{O}</math>. Личным ключом пользователя A является <math>n_A=121</math>, поэтому открытым ключом А будет

<math>P_A=121(2, 2)=(115, 48)</math>.

Личным ключом пользователя B является <math>n_B=203</math>, поэтому открытым ключом участника B будет

<math>203(2,2)=(130, 203)</math>.

Общим секретным ключом является

<math>121(130, 203)=203(115, 48)=(161, 169)</math>.

Безопасность криптографии с использованием эллиптических кривых

Безопасность, обеспечиваемая криптографическим подходом на основе эллиптических кривых, зависит от того, насколько трудной для решения оказывается задача определения <math>k</math> по данным <math>kP</math> и <math>P</math>. Эту задачу обычно называют проблемой логарифмирования на эллиптической кривой. Наиболее быстрым из известных на сегодня методов логарифмирования на эллиптической кривой является так называемый <math>p</math>-метод Полларда. В таблице (см. ниже) сравнивается эффективность этого метода и метод разложения на простые множители с помощью решета в поле чисел общего вида. Из нее видно, что по сравнению с RSA в случае применения методов криптографии на эллиптических кривых примерно тот же уровень защиты достигается со значительно меньшими значениями длины ключей.
К тому же при равных длинах ключей вычислительные усилия, требуемые при использовании RSA и криптографии на основе эллиптических кривых не сильно различаются. Таким образом, в сравнении с RSA при равных уровнях защиты явное вычислительное преимущество принадлежит криптографии на основе эллиптических кривых с более короткой длиной ключа.

Таблица: Вычислительные усилия, необходимые для криптоанализа при использовании эллиптических кривых и RSA

• Логарифмирование на эллиптической кривой с помощью <math>p</math>-метода Полларда.

Размер ключа	MIPS-годы
150	3,8 * 10^10
205	7,1 * 10^18
234	1,6 * 10^28

• Разложение на множители в целых числах с помощью метода решета в поле чисел общего вида.

Размер ключа	MIPS-годы
512	3 * 10^4
768	3 * 10^2
1024	3 * 10^11
1280	3 * 10^14
1536	3 * 10^16
2048	3 * 10^20

Построение электронной цифровой подписи с использованием эллиптических кривых

Алгоритм ECDSA (Elliptic Curve Digital Signature Algorithm) принят в качестве стандартов ANSI X9F1 и IEEE P1363.

Создание ключей

1. Выбирается эллиптическая кривая <math>E_p(a,b)</math>. Число точек на ней должно делиться на большое простое число n.
2. Выбирается базовая точка <math>G \in E_p(a,b)</math> порядка <math>n, n \cdot G = \infty </math>.
3. Выбирается случайное число <math>d \in (1,n)</math>.
4. Вычисляется <math>Q=d \cdot G</math>.
5. Закрытым ключом является d, открытым ключом - кортеж <a, b, G, n, Q>.

Создание подписи

1. Выбирается случайное число <math>k \in (1,n)</math>.
2. Вычисляется <math>k \cdot G = (x_1, y_1)</math> и <math>r=x_1 (\operatorname{mod} n)</math>.
3. Проверяется условие <math>r \neq 0</math>, так как иначе подпись не будет зависеть от закрытого ключа. Если r = 0, то выбирается другое случайное число k.
4. Вычисляется <math>k^{-1} (\operatorname{mod} n)</math>.
5. Вычисляется <math>s=k^{-1} \cdot (H(M)+dr)(\operatorname{mod} n)</math>.
6. Проверяется условие <math>s \neq 0</math>, так как в этом случае необходимого для проверки подписи числа <math>s^{-1} (\operatorname{mod} n)</math> не существует. Если s = 0, то выбирается другое случайное число k .

Подписью для сообщения М является пара чисел (r, s).

Проверка подписи

1. Проверим, что числа r и s принадлежат диапазону чисел (1, n). В противном случае результат проверки отрицательный, и подпись отвергается.
2. Вычислить <math>w=s^{-1} (\operatorname{mod} n)</math> и H(M).
3. Вычислить <math>u_1=H(M)w(\operatorname{mod} n)</math> и <math>u_2=rw(\operatorname{mod} n)</math>.
4. Вычислить <math>u_1P+u_2Q=(x_0,y_0), v=x_0(\operatorname{mod} n)</math>.
5. Подпись верна в том и только том случае, когда v = r.

Приложения

Большинство криптосистем современной криптографии естественным образом можно «переложить» на эллиптические кривые. Основная идея заключается в том, что известный алгоритм, используемый для конкретных конечных групп, переписывается для использования групп рациональных точек эллиптических кривых:

• ECDSA алгоритм, основывающийся на ЭЦП.
• ECDH алгоритм, основывающийся на алгоритме Диффи — Хеллмана.
• ECMQV алгоритм, основывающийся на MQV, протоколе распределения ключей Менезеса-Кью-Венстоуна.
• ‎ГОСТ Р 34.10-2012
• Факторизация Ленстры с помощью эллиптических кривых
• Dual EC DRBG

Необходимо отметить, что безопасность таких систем цифровой подписи опирается не только на криптостойкость алгоритмов шифрования, но и на криптостойкость используемых криптографических хэш-функций и генераторов случайных чисел.

По обзору 2013 года чаще всего используются кривые: nistp256, nistp384, nistp521, secp256k1, secp384r1, secp521r1

Ссылки

• Болотов А.А., Гашков С.Б., Фролов А.Б., Часовских А.А. [new.math.msu.su/department/dm/dmmc/PUBL1/elcr_ps.zip Алгоритмические основы эллиптической криптографии]. — Москва: МЭИ, 2000. — 100 с.
• Болотов А.А., Гашков С.Б., Фролов А.Б., Часовских А.А. Элементарное введение в эллиптическую криптографию. Алгебраические и алгоритмические основы.. — Москва: КомКнига, 2006. — 328 с.
• Жданов О.Н., Золотарев В.В. Методы и средства криптографической защиты информации. — Красноярск: «Город», 2007. — 217 с.
• Ишмухаметов Ш.Т. Методы факторизации натуральных чисел. — Казань: КФУ, 2011. — 190 с.
• Koblitz N.A. Course in namber theory and cryptography.. — USA: Springer-Verlag, 1994. — 235 с.

Отрывок, характеризующий Эллиптическая криптография

– Это точно, – сказал казак.
– Да еще вот что, пожалуйста, голубчик, наточи мне саблю; затупи… (но Петя боялся солгать) она никогда отточена не была. Можно это сделать?
– Отчего ж, можно.
Лихачев встал, порылся в вьюках, и Петя скоро услыхал воинственный звук стали о брусок. Он влез на фуру и сел на край ее. Казак под фурой точил саблю.
– А что же, спят молодцы? – сказал Петя.
– Кто спит, а кто так вот.
– Ну, а мальчик что?
– Весенний то? Он там, в сенцах, завалился. Со страху спится. Уж рад то был.
Долго после этого Петя молчал, прислушиваясь к звукам. В темноте послышались шаги и показалась черная фигура.
– Что точишь? – спросил человек, подходя к фуре.
– А вот барину наточить саблю.
– Хорошее дело, – сказал человек, который показался Пете гусаром. – У вас, что ли, чашка осталась?
– А вон у колеса.
Гусар взял чашку.
– Небось скоро свет, – проговорил он, зевая, и прошел куда то.
Петя должен бы был знать, что он в лесу, в партии Денисова, в версте от дороги, что он сидит на фуре, отбитой у французов, около которой привязаны лошади, что под ним сидит казак Лихачев и натачивает ему саблю, что большое черное пятно направо – караулка, и красное яркое пятно внизу налево – догоравший костер, что человек, приходивший за чашкой, – гусар, который хотел пить; но он ничего не знал и не хотел знать этого. Он был в волшебном царстве, в котором ничего не было похожего на действительность. Большое черное пятно, может быть, точно была караулка, а может быть, была пещера, которая вела в самую глубь земли. Красное пятно, может быть, был огонь, а может быть – глаз огромного чудовища. Может быть, он точно сидит теперь на фуре, а очень может быть, что он сидит не на фуре, а на страшно высокой башне, с которой ежели упасть, то лететь бы до земли целый день, целый месяц – все лететь и никогда не долетишь. Может быть, что под фурой сидит просто казак Лихачев, а очень может быть, что это – самый добрый, храбрый, самый чудесный, самый превосходный человек на свете, которого никто не знает. Может быть, это точно проходил гусар за водой и пошел в лощину, а может быть, он только что исчез из виду и совсем исчез, и его не было.
Что бы ни увидал теперь Петя, ничто бы не удивило его. Он был в волшебном царстве, в котором все было возможно.
Он поглядел на небо. И небо было такое же волшебное, как и земля. На небе расчищало, и над вершинами дерев быстро бежали облака, как будто открывая звезды. Иногда казалось, что на небе расчищало и показывалось черное, чистое небо. Иногда казалось, что эти черные пятна были тучки. Иногда казалось, что небо высоко, высоко поднимается над головой; иногда небо спускалось совсем, так что рукой можно было достать его.
Петя стал закрывать глаза и покачиваться.
Капли капали. Шел тихий говор. Лошади заржали и подрались. Храпел кто то.
– Ожиг, жиг, ожиг, жиг… – свистела натачиваемая сабля. И вдруг Петя услыхал стройный хор музыки, игравшей какой то неизвестный, торжественно сладкий гимн. Петя был музыкален, так же как Наташа, и больше Николая, но он никогда не учился музыке, не думал о музыке, и потому мотивы, неожиданно приходившие ему в голову, были для него особенно новы и привлекательны. Музыка играла все слышнее и слышнее. Напев разрастался, переходил из одного инструмента в другой. Происходило то, что называется фугой, хотя Петя не имел ни малейшего понятия о том, что такое фуга. Каждый инструмент, то похожий на скрипку, то на трубы – но лучше и чище, чем скрипки и трубы, – каждый инструмент играл свое и, не доиграв еще мотива, сливался с другим, начинавшим почти то же, и с третьим, и с четвертым, и все они сливались в одно и опять разбегались, и опять сливались то в торжественно церковное, то в ярко блестящее и победное.
«Ах, да, ведь это я во сне, – качнувшись наперед, сказал себе Петя. – Это у меня в ушах. А может быть, это моя музыка. Ну, опять. Валяй моя музыка! Ну!..»
Он закрыл глаза. И с разных сторон, как будто издалека, затрепетали звуки, стали слаживаться, разбегаться, сливаться, и опять все соединилось в тот же сладкий и торжественный гимн. «Ах, это прелесть что такое! Сколько хочу и как хочу», – сказал себе Петя. Он попробовал руководить этим огромным хором инструментов.
«Ну, тише, тише, замирайте теперь. – И звуки слушались его. – Ну, теперь полнее, веселее. Еще, еще радостнее. – И из неизвестной глубины поднимались усиливающиеся, торжественные звуки. – Ну, голоса, приставайте!» – приказал Петя. И сначала издалека послышались голоса мужские, потом женские. Голоса росли, росли в равномерном торжественном усилии. Пете страшно и радостно было внимать их необычайной красоте.
С торжественным победным маршем сливалась песня, и капли капали, и вжиг, жиг, жиг… свистела сабля, и опять подрались и заржали лошади, не нарушая хора, а входя в него.
Петя не знал, как долго это продолжалось: он наслаждался, все время удивлялся своему наслаждению и жалел, что некому сообщить его. Его разбудил ласковый голос Лихачева.
– Готово, ваше благородие, надвое хранцуза распластаете.
Петя очнулся.
– Уж светает, право, светает! – вскрикнул он.
Невидные прежде лошади стали видны до хвостов, и сквозь оголенные ветки виднелся водянистый свет. Петя встряхнулся, вскочил, достал из кармана целковый и дал Лихачеву, махнув, попробовал шашку и положил ее в ножны. Казаки отвязывали лошадей и подтягивали подпруги.
– Вот и командир, – сказал Лихачев. Из караулки вышел Денисов и, окликнув Петю, приказал собираться.


Быстро в полутьме разобрали лошадей, подтянули подпруги и разобрались по командам. Денисов стоял у караулки, отдавая последние приказания. Пехота партии, шлепая сотней ног, прошла вперед по дороге и быстро скрылась между деревьев в предрассветном тумане. Эсаул что то приказывал казакам. Петя держал свою лошадь в поводу, с нетерпением ожидая приказания садиться. Обмытое холодной водой, лицо его, в особенности глаза горели огнем, озноб пробегал по спине, и во всем теле что то быстро и равномерно дрожало.
– Ну, готово у вас все? – сказал Денисов. – Давай лошадей.
Лошадей подали. Денисов рассердился на казака за то, что подпруги были слабы, и, разбранив его, сел. Петя взялся за стремя. Лошадь, по привычке, хотела куснуть его за ногу, но Петя, не чувствуя своей тяжести, быстро вскочил в седло и, оглядываясь на тронувшихся сзади в темноте гусар, подъехал к Денисову.
– Василий Федорович, вы мне поручите что нибудь? Пожалуйста… ради бога… – сказал он. Денисов, казалось, забыл про существование Пети. Он оглянулся на него.
– Об одном тебя пг'ошу, – сказал он строго, – слушаться меня и никуда не соваться.
Во все время переезда Денисов ни слова не говорил больше с Петей и ехал молча. Когда подъехали к опушке леса, в поле заметно уже стало светлеть. Денисов поговорил что то шепотом с эсаулом, и казаки стали проезжать мимо Пети и Денисова. Когда они все проехали, Денисов тронул свою лошадь и поехал под гору. Садясь на зады и скользя, лошади спускались с своими седоками в лощину. Петя ехал рядом с Денисовым. Дрожь во всем его теле все усиливалась. Становилось все светлее и светлее, только туман скрывал отдаленные предметы. Съехав вниз и оглянувшись назад, Денисов кивнул головой казаку, стоявшему подле него.
– Сигнал! – проговорил он.
Казак поднял руку, раздался выстрел. И в то же мгновение послышался топот впереди поскакавших лошадей, крики с разных сторон и еще выстрелы.
В то же мгновение, как раздались первые звуки топота и крика, Петя, ударив свою лошадь и выпустив поводья, не слушая Денисова, кричавшего на него, поскакал вперед. Пете показалось, что вдруг совершенно, как середь дня, ярко рассвело в ту минуту, как послышался выстрел. Он подскакал к мосту. Впереди по дороге скакали казаки. На мосту он столкнулся с отставшим казаком и поскакал дальше. Впереди какие то люди, – должно быть, это были французы, – бежали с правой стороны дороги на левую. Один упал в грязь под ногами Петиной лошади.
У одной избы столпились казаки, что то делая. Из середины толпы послышался страшный крик. Петя подскакал к этой толпе, и первое, что он увидал, было бледное, с трясущейся нижней челюстью лицо француза, державшегося за древко направленной на него пики.
– Ура!.. Ребята… наши… – прокричал Петя и, дав поводья разгорячившейся лошади, поскакал вперед по улице.
Впереди слышны были выстрелы. Казаки, гусары и русские оборванные пленные, бежавшие с обеих сторон дороги, все громко и нескладно кричали что то. Молодцеватый, без шапки, с красным нахмуренным лицом, француз в синей шинели отбивался штыком от гусаров. Когда Петя подскакал, француз уже упал. Опять опоздал, мелькнуло в голове Пети, и он поскакал туда, откуда слышались частые выстрелы. Выстрелы раздавались на дворе того барского дома, на котором он был вчера ночью с Долоховым. Французы засели там за плетнем в густом, заросшем кустами саду и стреляли по казакам, столпившимся у ворот. Подъезжая к воротам, Петя в пороховом дыму увидал Долохова с бледным, зеленоватым лицом, кричавшего что то людям. «В объезд! Пехоту подождать!» – кричал он, в то время как Петя подъехал к нему.
– Подождать?.. Ураааа!.. – закричал Петя и, не медля ни одной минуты, поскакал к тому месту, откуда слышались выстрелы и где гуще был пороховой дым. Послышался залп, провизжали пустые и во что то шлепнувшие пули. Казаки и Долохов вскакали вслед за Петей в ворота дома. Французы в колеблющемся густом дыме одни бросали оружие и выбегали из кустов навстречу казакам, другие бежали под гору к пруду. Петя скакал на своей лошади вдоль по барскому двору и, вместо того чтобы держать поводья, странно и быстро махал обеими руками и все дальше и дальше сбивался с седла на одну сторону. Лошадь, набежав на тлевший в утреннем свето костер, уперлась, и Петя тяжело упал на мокрую землю. Казаки видели, как быстро задергались его руки и ноги, несмотря на то, что голова его не шевелилась. Пуля пробила ему голову.
Переговоривши с старшим французским офицером, который вышел к нему из за дома с платком на шпаге и объявил, что они сдаются, Долохов слез с лошади и подошел к неподвижно, с раскинутыми руками, лежавшему Пете.
– Готов, – сказал он, нахмурившись, и пошел в ворота навстречу ехавшему к нему Денисову.
– Убит?! – вскрикнул Денисов, увидав еще издалека то знакомое ему, несомненно безжизненное положение, в котором лежало тело Пети.
– Готов, – повторил Долохов, как будто выговаривание этого слова доставляло ему удовольствие, и быстро пошел к пленным, которых окружили спешившиеся казаки. – Брать не будем! – крикнул он Денисову.
Денисов не отвечал; он подъехал к Пете, слез с лошади и дрожащими руками повернул к себе запачканное кровью и грязью, уже побледневшее лицо Пети.
«Я привык что нибудь сладкое. Отличный изюм, берите весь», – вспомнилось ему. И казаки с удивлением оглянулись на звуки, похожие на собачий лай, с которыми Денисов быстро отвернулся, подошел к плетню и схватился за него.
В числе отбитых Денисовым и Долоховым русских пленных был Пьер Безухов.


О той партии пленных, в которой был Пьер, во время всего своего движения от Москвы, не было от французского начальства никакого нового распоряжения. Партия эта 22 го октября находилась уже не с теми войсками и обозами, с которыми она вышла из Москвы. Половина обоза с сухарями, который шел за ними первые переходы, была отбита казаками, другая половина уехала вперед; пеших кавалеристов, которые шли впереди, не было ни одного больше; они все исчезли. Артиллерия, которая первые переходы виднелась впереди, заменилась теперь огромным обозом маршала Жюно, конвоируемого вестфальцами. Сзади пленных ехал обоз кавалерийских вещей.
От Вязьмы французские войска, прежде шедшие тремя колоннами, шли теперь одной кучей. Те признаки беспорядка, которые заметил Пьер на первом привале из Москвы, теперь дошли до последней степени.
Дорога, по которой они шли, с обеих сторон была уложена мертвыми лошадьми; оборванные люди, отсталые от разных команд, беспрестанно переменяясь, то присоединялись, то опять отставали от шедшей колонны.
Несколько раз во время похода бывали фальшивые тревоги, и солдаты конвоя поднимали ружья, стреляли и бежали стремглав, давя друг друга, но потом опять собирались и бранили друг друга за напрасный страх.
Эти три сборища, шедшие вместе, – кавалерийское депо, депо пленных и обоз Жюно, – все еще составляли что то отдельное и цельное, хотя и то, и другое, и третье быстро таяло.
В депо, в котором было сто двадцать повозок сначала, теперь оставалось не больше шестидесяти; остальные были отбиты или брошены. Из обоза Жюно тоже было оставлено и отбито несколько повозок. Три повозки были разграблены набежавшими отсталыми солдатами из корпуса Даву. Из разговоров немцев Пьер слышал, что к этому обозу ставили караул больше, чем к пленным, и что один из их товарищей, солдат немец, был расстрелян по приказанию самого маршала за то, что у солдата нашли серебряную ложку, принадлежавшую маршалу.
Больше же всего из этих трех сборищ растаяло депо пленных. Из трехсот тридцати человек, вышедших из Москвы, теперь оставалось меньше ста. Пленные еще более, чем седла кавалерийского депо и чем обоз Жюно, тяготили конвоирующих солдат. Седла и ложки Жюно, они понимали, что могли для чего нибудь пригодиться, но для чего было голодным и холодным солдатам конвоя стоять на карауле и стеречь таких же холодных и голодных русских, которые мерли и отставали дорогой, которых было велено пристреливать, – это было не только непонятно, но и противно. И конвойные, как бы боясь в том горестном положении, в котором они сами находились, не отдаться бывшему в них чувству жалости к пленным и тем ухудшить свое положение, особенно мрачно и строго обращались с ними.
В Дорогобуже, в то время как, заперев пленных в конюшню, конвойные солдаты ушли грабить свои же магазины, несколько человек пленных солдат подкопались под стену и убежали, но были захвачены французами и расстреляны.
Прежний, введенный при выходе из Москвы, порядок, чтобы пленные офицеры шли отдельно от солдат, уже давно был уничтожен; все те, которые могли идти, шли вместе, и Пьер с третьего перехода уже соединился опять с Каратаевым и лиловой кривоногой собакой, которая избрала себе хозяином Каратаева.
С Каратаевым, на третий день выхода из Москвы, сделалась та лихорадка, от которой он лежал в московском гошпитале, и по мере того как Каратаев ослабевал, Пьер отдалялся от него. Пьер не знал отчего, но, с тех пор как Каратаев стал слабеть, Пьер должен был делать усилие над собой, чтобы подойти к нему. И подходя к нему и слушая те тихие стоны, с которыми Каратаев обыкновенно на привалах ложился, и чувствуя усилившийся теперь запах, который издавал от себя Каратаев, Пьер отходил от него подальше и не думал о нем.
В плену, в балагане, Пьер узнал не умом, а всем существом своим, жизнью, что человек сотворен для счастья, что счастье в нем самом, в удовлетворении естественных человеческих потребностей, и что все несчастье происходит не от недостатка, а от излишка; но теперь, в эти последние три недели похода, он узнал еще новую, утешительную истину – он узнал, что на свете нет ничего страшного. Он узнал, что так как нет положения, в котором бы человек был счастлив и вполне свободен, так и нет положения, в котором бы он был бы несчастлив и несвободен. Он узнал, что есть граница страданий и граница свободы и что эта граница очень близка; что тот человек, который страдал оттого, что в розовой постели его завернулся один листок, точно так же страдал, как страдал он теперь, засыпая на голой, сырой земле, остужая одну сторону и пригревая другую; что, когда он, бывало, надевал свои бальные узкие башмаки, он точно так же страдал, как теперь, когда он шел уже босой совсем (обувь его давно растрепалась), ногами, покрытыми болячками. Он узнал, что, когда он, как ему казалось, по собственной своей воле женился на своей жене, он был не более свободен, чем теперь, когда его запирали на ночь в конюшню. Из всего того, что потом и он называл страданием, но которое он тогда почти не чувствовал, главное были босые, стертые, заструпелые ноги. (Лошадиное мясо было вкусно и питательно, селитренный букет пороха, употребляемого вместо соли, был даже приятен, холода большого не было, и днем на ходу всегда бывало жарко, а ночью были костры; вши, евшие тело, приятно согревали.) Одно было тяжело в первое время – это ноги.
Во второй день перехода, осмотрев у костра свои болячки, Пьер думал невозможным ступить на них; но когда все поднялись, он пошел, прихрамывая, и потом, когда разогрелся, пошел без боли, хотя к вечеру страшнее еще было смотреть на ноги. Но он не смотрел на них и думал о другом.
Теперь только Пьер понял всю силу жизненности человека и спасительную силу перемещения внимания, вложенную в человека, подобную тому спасительному клапану в паровиках, который выпускает лишний пар, как только плотность его превышает известную норму.
Он не видал и не слыхал, как пристреливали отсталых пленных, хотя более сотни из них уже погибли таким образом. Он не думал о Каратаеве, который слабел с каждым днем и, очевидно, скоро должен был подвергнуться той же участи. Еще менее Пьер думал о себе. Чем труднее становилось его положение, чем страшнее была будущность, тем независимее от того положения, в котором он находился, приходили ему радостные и успокоительные мысли, воспоминания и представления.


22 го числа, в полдень, Пьер шел в гору по грязной, скользкой дороге, глядя на свои ноги и на неровности пути. Изредка он взглядывал на знакомую толпу, окружающую его, и опять на свои ноги. И то и другое было одинаково свое и знакомое ему. Лиловый кривоногий Серый весело бежал стороной дороги, изредка, в доказательство своей ловкости и довольства, поджимая заднюю лапу и прыгая на трех и потом опять на всех четырех бросаясь с лаем на вороньев, которые сидели на падали. Серый был веселее и глаже, чем в Москве. Со всех сторон лежало мясо различных животных – от человеческого до лошадиного, в различных степенях разложения; и волков не подпускали шедшие люди, так что Серый мог наедаться сколько угодно.
Дождик шел с утра, и казалось, что вот вот он пройдет и на небе расчистит, как вслед за непродолжительной остановкой припускал дождик еще сильнее. Напитанная дождем дорога уже не принимала в себя воды, и ручьи текли по колеям.
Пьер шел, оглядываясь по сторонам, считая шаги по три, и загибал на пальцах. Обращаясь к дождю, он внутренне приговаривал: ну ка, ну ка, еще, еще наддай.
Ему казалось, что он ни о чем не думает; но далеко и глубоко где то что то важное и утешительное думала его душа. Это что то было тончайшее духовное извлечение из вчерашнего его разговора с Каратаевым.
Вчера, на ночном привале, озябнув у потухшего огня, Пьер встал и перешел к ближайшему, лучше горящему костру. У костра, к которому он подошел, сидел Платон, укрывшись, как ризой, с головой шинелью, и рассказывал солдатам своим спорым, приятным, но слабым, болезненным голосом знакомую Пьеру историю. Было уже за полночь. Это было то время, в которое Каратаев обыкновенно оживал от лихорадочного припадка и бывал особенно оживлен. Подойдя к костру и услыхав слабый, болезненный голос Платона и увидав его ярко освещенное огнем жалкое лицо, Пьера что то неприятно кольнуло в сердце. Он испугался своей жалости к этому человеку и хотел уйти, но другого костра не было, и Пьер, стараясь не глядеть на Платона, подсел к костру.
– Что, как твое здоровье? – спросил он.
– Что здоровье? На болезнь плакаться – бог смерти не даст, – сказал Каратаев и тотчас же возвратился к начатому рассказу.
– …И вот, братец ты мой, – продолжал Платон с улыбкой на худом, бледном лице и с особенным, радостным блеском в глазах, – вот, братец ты мой…
Пьер знал эту историю давно, Каратаев раз шесть ему одному рассказывал эту историю, и всегда с особенным, радостным чувством. Но как ни хорошо знал Пьер эту историю, он теперь прислушался к ней, как к чему то новому, и тот тихий восторг, который, рассказывая, видимо, испытывал Каратаев, сообщился и Пьеру. История эта была о старом купце, благообразно и богобоязненно жившем с семьей и поехавшем однажды с товарищем, богатым купцом, к Макарью.
Остановившись на постоялом дворе, оба купца заснули, и на другой день товарищ купца был найден зарезанным и ограбленным. Окровавленный нож найден был под подушкой старого купца. Купца судили, наказали кнутом и, выдернув ноздри, – как следует по порядку, говорил Каратаев, – сослали в каторгу.
– И вот, братец ты мой (на этом месте Пьер застал рассказ Каратаева), проходит тому делу годов десять или больше того. Живет старичок на каторге. Как следовает, покоряется, худого не делает. Только у бога смерти просит. – Хорошо. И соберись они, ночным делом, каторжные то, так же вот как мы с тобой, и старичок с ними. И зашел разговор, кто за что страдает, в чем богу виноват. Стали сказывать, тот душу загубил, тот две, тот поджег, тот беглый, так ни за что. Стали старичка спрашивать: ты за что, мол, дедушка, страдаешь? Я, братцы мои миленькие, говорит, за свои да за людские грехи страдаю. А я ни душ не губил, ни чужого не брал, акромя что нищую братию оделял. Я, братцы мои миленькие, купец; и богатство большое имел. Так и так, говорит. И рассказал им, значит, как все дело было, по порядку. Я, говорит, о себе не тужу. Меня, значит, бог сыскал. Одно, говорит, мне свою старуху и деток жаль. И так то заплакал старичок. Случись в их компании тот самый человек, значит, что купца убил. Где, говорит, дедушка, было? Когда, в каком месяце? все расспросил. Заболело у него сердце. Подходит таким манером к старичку – хлоп в ноги. За меня ты, говорит, старичок, пропадаешь. Правда истинная; безвинно напрасно, говорит, ребятушки, человек этот мучится. Я, говорит, то самое дело сделал и нож тебе под голова сонному подложил. Прости, говорит, дедушка, меня ты ради Христа.
Каратаев замолчал, радостно улыбаясь, глядя на огонь, и поправил поленья.
– Старичок и говорит: бог, мол, тебя простит, а мы все, говорит, богу грешны, я за свои грехи страдаю. Сам заплакал горючьми слезьми. Что же думаешь, соколик, – все светлее и светлее сияя восторженной улыбкой, говорил Каратаев, как будто в том, что он имел теперь рассказать, заключалась главная прелесть и все значение рассказа, – что же думаешь, соколик, объявился этот убийца самый по начальству. Я, говорит, шесть душ загубил (большой злодей был), но всего мне жальче старичка этого. Пускай же он на меня не плачется. Объявился: списали, послали бумагу, как следовает. Место дальнее, пока суд да дело, пока все бумаги списали как должно, по начальствам, значит. До царя доходило. Пока что, пришел царский указ: выпустить купца, дать ему награждения, сколько там присудили. Пришла бумага, стали старичка разыскивать. Где такой старичок безвинно напрасно страдал? От царя бумага вышла. Стали искать. – Нижняя челюсть Каратаева дрогнула. – А его уж бог простил – помер. Так то, соколик, – закончил Каратаев и долго, молча улыбаясь, смотрел перед собой.