Схема Эль-Гамаля

Поделись знанием:
(перенаправлено с «Elgamal»)
Перейти к: навигация, поиск

Схема Эль-Гамаля (Elgamal) — криптосистема с открытым ключом, основанная на трудности вычисления дискретных логарифмов в конечном поле. Криптосистема включает в себя алгоритм шифрования и алгоритм цифровой подписи. Схема Эль-Гамаля лежит в основе бывших стандартов электронной цифровой подписи в США (DSA) и России (ГОСТ Р 34.10-94).

Схема была предложена Тахером Эль-Гамалем в 1985 году.[1] Эль-Гамаль разработал один из вариантов алгоритма Диффи-Хеллмана. Он усовершенствовал систему Диффи-Хеллмана и получил два алгоритма, которые использовались для шифрования и для обеспечения аутентификации. В отличие от RSA алгоритм Эль-Гамаля не был запатентован и, поэтому, стал более дешевой альтернативой, так как не требовалась оплата взносов за лицензию. Считается, что алгоритм попадает под действие патента Диффи-Хеллмана.





Генерация ключей

  1. Генерируется случайное простое число <math>p</math>.
  2. Выбирается целое число <math>g</math> — первообразный корень <math>p</math>.
  3. Выбирается случайное целое число <math>x</math> такое, что <math>1 < x < p</math>.
  4. Вычисляется <math>y = g^x\,\bmod\,p</math>.
  5. Открытым ключом является тройка <math>\left( p,g,y \right)</math>, закрытым ключом — число <math>x</math>.

Работа в режиме шифрования

Шифросистема Эль-Гамаля является фактически одним из способов выработки открытых ключей Диффи — Хеллмана. Шифрование по схеме Эль-Гамаля не следует путать с алгоритмом цифровой подписи по схеме Эль-Гамаля.

Шифрование

Сообщение <math>M</math> должно быть меньше числа <math>p</math>. Сообщение шифруется следующим образом:

  1. Выбирается сессионный ключ — случайное целое число <math>k</math> такое, что <math>1 < k < p - 1</math>
  2. Вычисляются числа <math>a = g^k\,\bmod\,p</math> и <math>b = y^k M\,\bmod\,p</math>.
  3. Пара чисел <math>\left( a, b \right)</math> является шифротекстом.

Нетрудно видеть, что длина шифротекста в схеме Эль-Гамаля длиннее исходного сообщения <math>M</math> вдвое.

Расшифрование

Зная закрытый ключ <math>x</math>, исходное сообщение можно вычислить из шифротекста <math>\left( a, b \right)</math> по формуле:

<math>M = b(a^x)^{-1}\,\bmod\,p.</math>

При этом нетрудно проверить, что

<math>(a^x)^{-1}\equiv g^{-kx}\pmod{p}</math>

и поэтому

<math>b(a^x)^{-1}\equiv (y^kM)g^{-xk}\equiv (g^{xk}M) g^{-xk}\equiv M \pmod{p}</math>.

Для практических вычислений больше подходит следующая формула:

<math>M = b(a^x)^{-1}\,\bmod\,p = b \cdot a^{(p-1-x)}\,\bmod\,p </math>

Схема шифрования

Пример

  • Шифрование
    1. Допустим, что нужно зашифровать сообщение <math>M=5</math>.
    2. Произведем генерацию ключей:
      1. Пусть <math>p=11, g=2</math>. Выберем <math>x=8</math> - случайное целое число <math>x</math> такое,что <math>1 < x < p</math>.
      2. Вычислим <math>y= g^x\bmod{p}=2^8\bmod{11}=3</math>.
      3. Итак, открытым ключом является тройка <math>(p,g,y)=(11,2,3)</math>,а закрытым ключом - число <math>x=8</math>.
    3. Выбираем случайное целое число <math>k</math> такое, что 1 < k < (p − 1). Пусть <math>k=9</math>.
    4. Вычисляем число <math>a=g^k\bmod{p}=2^9 \bmod{11}=512 \bmod{11}=6</math>.
    5. Вычисляем число <math>b=y^k M\bmod{p}=3^9 5 \bmod{11}=19683 \cdot 5 \bmod{11}=9</math>.
    6. Полученная пара <math>(a,b)=(6,9)</math> является шифротекстом.
  • Расшифрование
    1. Необходимо получить сообщение <math>M=5</math> по известному шифротексту <math>(a,b)=(6,9)</math> и закрытому ключу <math>x=8</math>.
    2. Вычисляем M по формуле: <math>M=b(a^x)^{-1}\bmod{p}=9(6^8)^{-1}\mod{11}=5</math>
    3. Получили исходное сообщение <math>M=5</math>.

Так как в схему Эль-Гамаля вводится случайная величина <math>k</math>,то шифр Эль-Гамаля можно назвать шифром многозначной замены. Из-за случайности выбора числа <math>k</math> такую схему еще называют схемой вероятностного шифрования. Вероятностный характер шифрования является преимуществом для схемы Эль-Гамаля, так как у схем вероятностного шифрования наблюдается большая стойкость по сравнению со схемами с определенным процессом шифрования. Недостатком схемы шифрования Эль-Гамаля является удвоение длины зашифрованного текста по сравнению с начальным текстом. Для схемы вероятностного шифрования само сообщение <math>M</math> и ключ не определяют шифротекст однозначно. В схеме Эль-Гамаля необходимо использовать различные значения случайной величины <math>k</math> для шифровки различных сообщений <math>M</math> и <math>M'</math>. Если использовать одинаковые <math>k</math>, то для соответствующих шифротекстов <math>(a,b)</math> и <math>(a',b')</math> выполняется соотношение <math>b(b')^{-1}=M(M')^{-1}</math>. Из этого выражения можно легко вычислить <math>M'</math>, если известно <math>M</math>.

Работа в режиме подписи

Цифровая подпись служит для того чтобы можно было установить изменения данных и чтобы установить подлинность подписавшейся стороны. Получатель подписанного сообщения может использовать цифровую подпись для доказательства третьей стороне того, что подпись действительно сделана отправляющей стороной. При работе в режиме подписи предполагается наличие фиксированной хеш-функции <math>h(\cdot)</math>, значения которой лежат в интервале <math>\left( 1, p - 1 \right)</math>.

Подпись сообщений

Для подписи сообщения <math>M</math> выполняются следующие операции:

  1. Вычисляется дайджест сообщения <math>M</math>: <math>m = h(M).</math>
  2. Выбирается случайное число <math>1< k < p-1</math> взаимно простое с <math>p - 1</math> и вычисляется <math>r = g^k\,\bmod\,p.</math>
  3. Вычисляется число <math> s \, \equiv \, (m-x r)k^{-1} \pmod{p-1}</math>.
  4. Подписью сообщения <math>M</math> является пара <math>\left( r,s \right)</math>.

Проверка подписи

Зная открытый ключ <math>\left( p,g,y \right)</math>, подпись <math>\left( r,s \right)</math> сообщения <math>M</math> проверяется следующим образом:

  1. Проверяется выполнимость условий: <math>0<r<p</math> и <math>0<s<p-1</math>. Если хотя бы одно из них не выполняется,то подпись считается неверной.
  2. Вычисляется дайджест <math>m = h(M).</math>
  3. Подпись считается верной, если выполняется сравнение:
    <math>(y^r r^s)mod{p} \equiv g^m \pmod{p}.</math>

Пример

  • Подпись сообщения.
    1. Допустим,что нужно подписать сообщение <math>M=baaqab</math>.
    2. Произведем генерацию ключей:
      1. Пусть <math>p=23</math> <math>g=5</math> переменные, которые известны некоторому сообществу. Секретный ключ <math>x=7</math> — случайное целое число <math>x</math> такое, что <math>1 < x < p</math>.
      2. Вычисляем открытый ключ <math>y</math>: <math>y=g^x\bmod p=5^7 \bmod 23=17</math>.
      3. Итак,открытым ключом является тройка <math>(p,g,y)=(23,5,17)</math>.
    3. Теперь вычисляем хэш-функцию: <math>h(M)=h(baaqab)=m=3</math>.
    4. Выберем случайное число <math>k</math> такое, что выполняется условие <math>1 < k < p-1</math>. Пусть <math>k=5</math>.
    5. Вычисляем <math>r=g^k modp=5^5 \bmod 23=20</math>.
    6. Находим число <math> s \, \equiv \, (m-x r)k^{-1} \pmod{p-1}</math>. Такое <math>s</math> существует, так как НОД(k,p-1)=1. Получим что <math>s=21</math>.
    7. Итак, мы подписали сообщение: <math><baaqab,20,21></math>.
  • Проверка подлинности полученного сообщения.
    1. Вычисляем хэш-функцию: <math>h(M)=h(baaqab)=m=3</math>.
    2. Проверяем сравнение <math>y^r \cdot r^s\equiv g^m \pmod{p}</math>.
    3. Вычислим левую часть по модулю 23: <math>17^{20} \cdot 20^{21} \bmod 23=16 \cdot 15 \bmod 23=10</math>.
    4. Вычислим правую часть по модулю 23: <math>5^3\bmod 23=10</math>.
    5. Так как правая и левая части равны, то это означает что подпись верна.

Главным преимуществом схемы цифровой подписи Эль-Гамаля является возможность вырабатывать цифровые подписи для большого числа сообщений с использованием только одного секретного ключа. Чтобы злоумышленнику подделать подпись, ему нужно решить сложные математические задачи с нахождением логарифма в поле <math>\mathbb{Z}_p</math>. Следует сделать несколько комментариев:
  • Случайное число <math>k</math> должно сразу после вычисления подписи уничтожаться,так как если злоумышленник знает случайное число <math>k</math> и саму подпись, то он легко может найти секретный ключ по формуле: <math>x=(m-ks)r^{-1} \bmod (p-1)</math> и полностью подделать подпись.

Число <math>k</math> должно быть случайным и не должно дублироваться для различных подписей, полученных при одинаковом значении секретного ключа.

  • Использование свертки <math>m=h(M)</math> объясняется тем,что это защищает подпись от перебора сообщений по известным злоумышленнику значениям подписи. Пример: если выбрать случайные числа <math>i,j</math>,удовлетворяющие условиям <math>0<i<{p-1} , 0<j<{p-1}</math>, НОД(j,p-1)=1 и предположить что
    <math>r=g^i \cdot y^{-j} \bmod p</math>
    <math>s=r \cdot j^{-1} \bmod (p-1)</math>
    <math>m=r \cdot i \cdot j^{-1} \bmod (p-1)</math>

то легко удостовериться в том,что пара <math>(r,s)</math> является верной цифровой подписью для сообщения <math>x=M</math>.

  • Цифровая подпись Эль-Гамаля стала примером построения других подписей, схожих по своим свойствам. В их основе лежит выполнение сравнения: <math>y^A \cdot r^B=g^C(modp)</math>, в котором тройка <math>(A,B,C)</math> принимает значения одной из перестановок ±r, ±s и ±m при каком-то выборе знаков. Например, исходная схема Эль-Гамаля получается при <math>A=r</math>,<math>B=s</math>, <math>C=m</math>.На таком принципе построения подписи сделаны стандарты цифровой подписи США и России. В американском стандарте DSS (Digital Signature Standard), используется значения <math>A=r</math>, <math>B=-s</math>,<math>C=m</math>, а в Российском стандарте: <math>A=-x</math>, <math>B=-m</math>, <math>C=s</math>.
  • Еще одним из преимуществ является возможность уменьшения длины подписи с помощью замены пары чисел <math>(s,m)</math> на пару чисел <math>(s \bmod q,m \bmod q</math>),где <math>q</math> является каким-то простым делителем числа <math>(p-1)</math>. При этом сравнение для проверки подписи по модулю <math>p</math> нужно заменить на новое сравнение по модулю <math>q</math>: <math>(~y^A \cdot r^B) \bmod p = g^C \pmod{q}</math>. Так сделано в американском стандарте DSS (Digital Signature Standard).

Криптостойкость и особенности

В настоящее время криптосистемы с открытым ключом считаются наиболее перспективными. К ним относится и схема Эль-Гамаля, криптостойкость которой основана на вычислительной сложности проблемы дискретного логарифмирования, где по известным p, g и y требуется вычислить x, удовлетворяющий сравнению:

<math>y \equiv g^x\pmod{p}.</math>

ГОСТ Р34.10-1994, принятый в 1994 году в Российской Федерации, регламентировавший процедуры формирования и проверки электронной цифровой подписи, был основан на схеме Эль-Гамаля. С 2001 года используется новый ГОСТ Р 34.10-2001, использующий арифметику эллиптических кривых, определенных над простыми полями Галуа. Существует большое количество алгоритмов, основанных на схеме Эль-Гамаля: это алгоритмы DSA, ECDSA, KCDSA, схема Шнорра.

Сравнение некоторых алгоритмов:

Алгоритм Ключ Назначение Криптостойкость, MIPS Примечания
RSA До 4096 бит Шифрование и подпись 2,7•1028 для ключа 1300 бит Основан на трудности задачи факторизации больших чисел; один из первых асимметричных алгоритмов. Включен во многие стандарты
ElGamal До 4096 бит Шифрование и подпись При одинаковой длине ключа криптостойкость равная RSA, т.е. 2,7•1028 для ключа 1300 бит Основан на трудной задаче вычисления дискретных логарифмов в конечном поле; позволяет быстро генерировать ключи без снижения стойкости. Используется в алгоритме цифровой подписи DSA-стандарта DSS
DSA До 1024 бит Только подписание Основан на трудности задачи дискретного логарифмирования в конечном поле; принят в качестве гос. стандарта США; применяется для секретных и несекретных коммуникаций; разработчиком является АНБ.
ECDSA До 4096 бит Шифрование и подпись Криптостойкость и скорость работы выше, чем у RSA Современное направление. Разрабатывается многими ведущими математиками

Напишите отзыв о статье "Схема Эль-Гамаля"

Примечания

  1. Taher ElGamal (1985). «[caislab.kaist.ac.kr/lecture/2010/spring/cs548/basic/B02.pdf A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms]». IEEE Transactions on Information Theory 31 (4): 469-472. DOI:10.1109/TIT.1985.1057074.

Ссылки

  • Алфёров А.П., Зубов А.Ю., Кузьмин А.С., Черемушкин А.В. Основы криптографии.
  • Б. А. Фороузан. [www.intuit.ru/department/security/manencryptk/3/4.html#sect22 Схема цифровой подписи Эль-Гамаля] // [www.intuit.ru/department/security/manencryptk/ Управление ключами шифрования и безопасность сети] / Пер. А. Н. Берлин. — Курс лекций.
  • Alfred J. Menezes, Paul C. van Oorschot, Scott A. Vanstone. [www.cacr.math.uwaterloo.ca/hac/about/chap11.pdf 11.5.2 The ElGamal signature scheme] // [www.cacr.math.uwaterloo.ca/hac/ Handbook of applied cryptography].

Отрывок, характеризующий Схема Эль-Гамаля

– Вы, кажется, тоже хотели ехать, maman? Карета нужна? – .сказал он, с улыбкой обращаясь к матери.
– Да, поди, поди, вели приготовить, – сказала она, уливаясь.
Борис вышел тихо в двери и пошел за Наташей, толстый мальчик сердито побежал за ними, как будто досадуя на расстройство, происшедшее в его занятиях.


Из молодежи, не считая старшей дочери графини (которая была четырьмя годами старше сестры и держала себя уже, как большая) и гостьи барышни, в гостиной остались Николай и Соня племянница. Соня была тоненькая, миниатюрненькая брюнетка с мягким, отененным длинными ресницами взглядом, густой черною косой, два раза обвившею ее голову, и желтоватым оттенком кожи на лице и в особенности на обнаженных худощавых, но грациозных мускулистых руках и шее. Плавностью движений, мягкостью и гибкостью маленьких членов и несколько хитрою и сдержанною манерой она напоминала красивого, но еще не сформировавшегося котенка, который будет прелестною кошечкой. Она, видимо, считала приличным выказывать улыбкой участие к общему разговору; но против воли ее глаза из под длинных густых ресниц смотрели на уезжавшего в армию cousin [двоюродного брата] с таким девическим страстным обожанием, что улыбка ее не могла ни на мгновение обмануть никого, и видно было, что кошечка присела только для того, чтоб еще энергичнее прыгнуть и заиграть с своим соusin, как скоро только они так же, как Борис с Наташей, выберутся из этой гостиной.
– Да, ma chere, – сказал старый граф, обращаясь к гостье и указывая на своего Николая. – Вот его друг Борис произведен в офицеры, и он из дружбы не хочет отставать от него; бросает и университет и меня старика: идет в военную службу, ma chere. А уж ему место в архиве было готово, и всё. Вот дружба то? – сказал граф вопросительно.
– Да ведь война, говорят, объявлена, – сказала гостья.
– Давно говорят, – сказал граф. – Опять поговорят, поговорят, да так и оставят. Ma chere, вот дружба то! – повторил он. – Он идет в гусары.
Гостья, не зная, что сказать, покачала головой.
– Совсем не из дружбы, – отвечал Николай, вспыхнув и отговариваясь как будто от постыдного на него наклепа. – Совсем не дружба, а просто чувствую призвание к военной службе.
Он оглянулся на кузину и на гостью барышню: обе смотрели на него с улыбкой одобрения.
– Нынче обедает у нас Шуберт, полковник Павлоградского гусарского полка. Он был в отпуску здесь и берет его с собой. Что делать? – сказал граф, пожимая плечами и говоря шуточно о деле, которое, видимо, стоило ему много горя.
– Я уж вам говорил, папенька, – сказал сын, – что ежели вам не хочется меня отпустить, я останусь. Но я знаю, что я никуда не гожусь, кроме как в военную службу; я не дипломат, не чиновник, не умею скрывать того, что чувствую, – говорил он, всё поглядывая с кокетством красивой молодости на Соню и гостью барышню.
Кошечка, впиваясь в него глазами, казалась каждую секунду готовою заиграть и выказать всю свою кошачью натуру.
– Ну, ну, хорошо! – сказал старый граф, – всё горячится. Всё Бонапарте всем голову вскружил; все думают, как это он из поручиков попал в императоры. Что ж, дай Бог, – прибавил он, не замечая насмешливой улыбки гостьи.
Большие заговорили о Бонапарте. Жюли, дочь Карагиной, обратилась к молодому Ростову:
– Как жаль, что вас не было в четверг у Архаровых. Мне скучно было без вас, – сказала она, нежно улыбаясь ему.
Польщенный молодой человек с кокетливой улыбкой молодости ближе пересел к ней и вступил с улыбающейся Жюли в отдельный разговор, совсем не замечая того, что эта его невольная улыбка ножом ревности резала сердце красневшей и притворно улыбавшейся Сони. – В середине разговора он оглянулся на нее. Соня страстно озлобленно взглянула на него и, едва удерживая на глазах слезы, а на губах притворную улыбку, встала и вышла из комнаты. Всё оживление Николая исчезло. Он выждал первый перерыв разговора и с расстроенным лицом вышел из комнаты отыскивать Соню.
– Как секреты то этой всей молодежи шиты белыми нитками! – сказала Анна Михайловна, указывая на выходящего Николая. – Cousinage dangereux voisinage, [Бедовое дело – двоюродные братцы и сестрицы,] – прибавила она.
– Да, – сказала графиня, после того как луч солнца, проникнувший в гостиную вместе с этим молодым поколением, исчез, и как будто отвечая на вопрос, которого никто ей не делал, но который постоянно занимал ее. – Сколько страданий, сколько беспокойств перенесено за то, чтобы теперь на них радоваться! А и теперь, право, больше страха, чем радости. Всё боишься, всё боишься! Именно тот возраст, в котором так много опасностей и для девочек и для мальчиков.
– Всё от воспитания зависит, – сказала гостья.
– Да, ваша правда, – продолжала графиня. – До сих пор я была, слава Богу, другом своих детей и пользуюсь полным их доверием, – говорила графиня, повторяя заблуждение многих родителей, полагающих, что у детей их нет тайн от них. – Я знаю, что я всегда буду первою confidente [поверенной] моих дочерей, и что Николенька, по своему пылкому характеру, ежели будет шалить (мальчику нельзя без этого), то всё не так, как эти петербургские господа.
– Да, славные, славные ребята, – подтвердил граф, всегда разрешавший запутанные для него вопросы тем, что всё находил славным. – Вот подите, захотел в гусары! Да вот что вы хотите, ma chere!
– Какое милое существо ваша меньшая, – сказала гостья. – Порох!
– Да, порох, – сказал граф. – В меня пошла! И какой голос: хоть и моя дочь, а я правду скажу, певица будет, Саломони другая. Мы взяли итальянца ее учить.
– Не рано ли? Говорят, вредно для голоса учиться в эту пору.
– О, нет, какой рано! – сказал граф. – Как же наши матери выходили в двенадцать тринадцать лет замуж?
– Уж она и теперь влюблена в Бориса! Какова? – сказала графиня, тихо улыбаясь, глядя на мать Бориса, и, видимо отвечая на мысль, всегда ее занимавшую, продолжала. – Ну, вот видите, держи я ее строго, запрещай я ей… Бог знает, что бы они делали потихоньку (графиня разумела: они целовались бы), а теперь я знаю каждое ее слово. Она сама вечером прибежит и всё мне расскажет. Может быть, я балую ее; но, право, это, кажется, лучше. Я старшую держала строго.
– Да, меня совсем иначе воспитывали, – сказала старшая, красивая графиня Вера, улыбаясь.
Но улыбка не украсила лица Веры, как это обыкновенно бывает; напротив, лицо ее стало неестественно и оттого неприятно.
Старшая, Вера, была хороша, была неглупа, училась прекрасно, была хорошо воспитана, голос у нее был приятный, то, что она сказала, было справедливо и уместно; но, странное дело, все, и гостья и графиня, оглянулись на нее, как будто удивились, зачем она это сказала, и почувствовали неловкость.
– Всегда с старшими детьми мудрят, хотят сделать что нибудь необыкновенное, – сказала гостья.
– Что греха таить, ma chere! Графинюшка мудрила с Верой, – сказал граф. – Ну, да что ж! всё таки славная вышла, – прибавил он, одобрительно подмигивая Вере.
Гостьи встали и уехали, обещаясь приехать к обеду.
– Что за манера! Уж сидели, сидели! – сказала графиня, проводя гостей.


Когда Наташа вышла из гостиной и побежала, она добежала только до цветочной. В этой комнате она остановилась, прислушиваясь к говору в гостиной и ожидая выхода Бориса. Она уже начинала приходить в нетерпение и, топнув ножкой, сбиралась было заплакать оттого, что он не сейчас шел, когда заслышались не тихие, не быстрые, приличные шаги молодого человека.
Наташа быстро бросилась между кадок цветов и спряталась.
Борис остановился посереди комнаты, оглянулся, смахнул рукой соринки с рукава мундира и подошел к зеркалу, рассматривая свое красивое лицо. Наташа, притихнув, выглядывала из своей засады, ожидая, что он будет делать. Он постоял несколько времени перед зеркалом, улыбнулся и пошел к выходной двери. Наташа хотела его окликнуть, но потом раздумала. «Пускай ищет», сказала она себе. Только что Борис вышел, как из другой двери вышла раскрасневшаяся Соня, сквозь слезы что то злобно шепчущая. Наташа удержалась от своего первого движения выбежать к ней и осталась в своей засаде, как под шапкой невидимкой, высматривая, что делалось на свете. Она испытывала особое новое наслаждение. Соня шептала что то и оглядывалась на дверь гостиной. Из двери вышел Николай.
– Соня! Что с тобой? Можно ли это? – сказал Николай, подбегая к ней.
– Ничего, ничего, оставьте меня! – Соня зарыдала.
– Нет, я знаю что.
– Ну знаете, и прекрасно, и подите к ней.
– Соооня! Одно слово! Можно ли так мучить меня и себя из за фантазии? – говорил Николай, взяв ее за руку.
Соня не вырывала у него руки и перестала плакать.
Наташа, не шевелясь и не дыша, блестящими главами смотрела из своей засады. «Что теперь будет»? думала она.
– Соня! Мне весь мир не нужен! Ты одна для меня всё, – говорил Николай. – Я докажу тебе.
– Я не люблю, когда ты так говоришь.
– Ну не буду, ну прости, Соня! – Он притянул ее к себе и поцеловал.
«Ах, как хорошо!» подумала Наташа, и когда Соня с Николаем вышли из комнаты, она пошла за ними и вызвала к себе Бориса.
– Борис, подите сюда, – сказала она с значительным и хитрым видом. – Мне нужно сказать вам одну вещь. Сюда, сюда, – сказала она и привела его в цветочную на то место между кадок, где она была спрятана. Борис, улыбаясь, шел за нею.
– Какая же это одна вещь ? – спросил он.
Она смутилась, оглянулась вокруг себя и, увидев брошенную на кадке свою куклу, взяла ее в руки.
– Поцелуйте куклу, – сказала она.
Борис внимательным, ласковым взглядом смотрел в ее оживленное лицо и ничего не отвечал.
– Не хотите? Ну, так подите сюда, – сказала она и глубже ушла в цветы и бросила куклу. – Ближе, ближе! – шептала она. Она поймала руками офицера за обшлага, и в покрасневшем лице ее видны были торжественность и страх.
– А меня хотите поцеловать? – прошептала она чуть слышно, исподлобья глядя на него, улыбаясь и чуть не плача от волненья.
Борис покраснел.
– Какая вы смешная! – проговорил он, нагибаясь к ней, еще более краснея, но ничего не предпринимая и выжидая.
Она вдруг вскочила на кадку, так что стала выше его, обняла его обеими руками, так что тонкие голые ручки согнулись выше его шеи и, откинув движением головы волосы назад, поцеловала его в самые губы.
Она проскользнула между горшками на другую сторону цветов и, опустив голову, остановилась.
– Наташа, – сказал он, – вы знаете, что я люблю вас, но…
– Вы влюблены в меня? – перебила его Наташа.
– Да, влюблен, но, пожалуйста, не будем делать того, что сейчас… Еще четыре года… Тогда я буду просить вашей руки.
Наташа подумала.
– Тринадцать, четырнадцать, пятнадцать, шестнадцать… – сказала она, считая по тоненьким пальчикам. – Хорошо! Так кончено?
И улыбка радости и успокоения осветила ее оживленное лицо.
– Кончено! – сказал Борис.
– Навсегда? – сказала девочка. – До самой смерти?
И, взяв его под руку, она с счастливым лицом тихо пошла с ним рядом в диванную.


Графиня так устала от визитов, что не велела принимать больше никого, и швейцару приказано было только звать непременно кушать всех, кто будет еще приезжать с поздравлениями. Графине хотелось с глазу на глаз поговорить с другом своего детства, княгиней Анной Михайловной, которую она не видала хорошенько с ее приезда из Петербурга. Анна Михайловна, с своим исплаканным и приятным лицом, подвинулась ближе к креслу графини.