HAIFA

Поделись знанием:
Перейти к: навигация, поиск

HAIFA (англ. HAsh Iterative FrAmework)— режим итераций для хэш-функций: к функции сжатия добавляется информация о количестве уже захэшированных бит сообщения. Режим был предложен в 2006 году и использовался в нескольких хэш-функциях, например BLAKE, SHAvite-3. Три из 14 кандидатов на конкурс SHA-3 были основаны на HAIFA, один из них стал финалистом.

В отличие от кардинально новой конструкции Sponge (губка), использованной в победителе конкурса SHA-3, хэше Keccak, HAIFA близка по своей структуре к классическому широко используемому методу Merkle Damgård (MD). Однако по сравнению с MD улучшена стойкость к атакам фиксированной точки и поиска второго прообраза.

В каждой итерации хэш-функций, построенных на HAIFA, к блоку добавляется фиксированная опциональная соль размером s бит и обязательный t-битный счетчик. Затем, полученный вектор вместе с предыдущим состоянием передается в функцию сжатия.

Дизайн HAIFA свободен как от префиксов, так и от суффиксов, то есть устойчив к коллизиям и неотличим от случайного оракула. Если используемая функция сжатия обладает свойствами идеальной, то HAIFA доказано устойчива к атаке поиска второго прообраза.





Создатели алгоритма

Создателями алгоритма являются ученые Эли Бихам и Ор Дункельман - два израильских криптографа, работавшие в Хайфском университете. Причем как первая, так и вторая фигуры являются достаточно интересными личностями. Эли Бихам был учеником Ади Шамира, знаменитого ученого , и в течение своей многолетней практики разработал большое количество криптографических алгоритмов, в том числе и для взлома существующих. Ор Дункельман являлся его партнером только в одном проекте, в дальнейшем продолжил свои исследования и занятия со студентами в университете.

Предпосылки к созданию HAIFA

Структура Меркла-Дамгарда, которая представляет собой алгоритм комбинирования функций сжатия частей шифруемого сообщения в одну хэш-функцию, считалась до некоторого времени устойчивой к атаке на нахождение второго прообраза. Однако в 1999 году Ридард Д.Дин заметил, что это предположение неверно для длинных сообщений, если при данной функции сжатия возможно легко находить фиксированные точки последовательности.

Как известно, структура Меркла-Дамгарда представляет собой следующее: у нас есть сообщение M, разбитое на несколько частей: M1, M2...Mn. Есть некоторое начальное значение - IV и некоторая функция C, которая подсчитывает промежуточное представление нашей хэш-функции H определенным образом:

<math>h_0=IV</math>

Далее итеративно:

<math>h_i=C(h_{i-1}, M_i)</math>

<math>H(M)=h_k</math>

В атаке на второй прообраз можно было бы искать такое значение M' , для которого <math>H(M')=h_i=H(M_i)</math>, т.е. хэш от M' равен какому-либо промежуточному значению в итерациях, и далее соединить часть оставшегося сообщения M(находящуюся справа от M') с нашим угаданным M'. В итоге <math>H(M)=H(M')</math>. Однако алгоритм был признан устойчивым к этой атаке, так как в усовершенствованном варианте в конец сообщения дописывался его размер. В силу того , что размеры для M и M' различались, невозможно (или достаточно сложно) было подобрать такое M'. Дин же в своей работе указал совершенно новый способ атаки, основанный на предположении, что для данной функции C легко найти фиксированные точки ( по определению фиксированная точка - та, для которой выполняется соотношение <math>h=C(h, M_i)</math>). В его алгоритме недостающая длина сообщения восполнялась добавлением множества фиксированных точек, т.е. мы могли достаточным количеством повторений значения h дополнить нашу длину до нужной. В дальнейшем Кэлси и Шнайер усовершенствовали его атаку, отказавшись от предположения, что для данной C легко находить фиксированные точки, и находили множественные коллизии в блоках. При этом длина сообщения уже контролировалась расширяющимся префиксом.

Также в качестве одной из причин для создания нового алгоритма стоит упомянуть труды Джоукса, в которых он описал возможность нахождения <math>2^t</math> сообщений, имеющих один и тот же хэш. Его работа базируется на факте, что возможно найти t таких одноблочных коллизий, в которых <math>C(h_{i-1},M_i)=C(h_{i-1},M_i^*)</math>, и далее конструировать различные сообщения, всего <math>2^t</math> вариантов,выбирая на каждом из t шагов либо сообщение <math>M_i</math>, либо <math>M_i^*</math> . Немаловажную роль в желании разработать новый режим итерации хэш-функции сыграла возможность осуществления хэрдинг атаки на алгоритм Меркла-Дамгарда. Хэрдинг атака основана на том, что атакующий пытается найти такой суффикс по заданному префиксу, который будет давать нужное значение хэша

  1. Изначально строится дерево из различных <math>2^t</math> внутренних значений, ищутся сообщения Mj , которые приводят к коллизиям среди этих состояний. То есть в узлах дерева находятся различные значения h, на ребрах - значения Mj.
  2. Строим коллизии по вновь полученным значениям h(с предыдущего уровня дерева) до тех пор, пока не дойдем до конечного значения H.
  3. Затем атакующий получает информацию о префиксе.
  4. Получив эту информацию, он пытается подобрать связующее сообщение между эти префиксом и желаемым суффиксом. Связующее сообщение должно удовлетворять условию , что значение сжимающей функции от него равен одному из внутренних значений h на первом уровне дерева. Далее суффикс строится обычным проходом по дереву ( так как на его ребрах уже находятся сообщения, которые приведут к необходимому результату). Ключевым моментом является возможность производить предварительные вычисления, в онлайн режиме останется подобрать только нужное промежуточное значение h и M

Алгоритм HAIFA

Главная идея алгоритма - заложить в основу количество захэшированных бит и некоторое случайное значение. То есть вместо использования нашей обычной функции сжатия, которую теперь обозначим следующим образом:

<math>\{0,1\}^{m_c}\times\{0,1\}^{n} \rightarrow\{0,1\}^{m_c}</math>

мы используем:

<math>\{0,1\}^{m_c}\times\{0,1\}^{n}\times\{0,1\}^{b}\times\{0,1\}^{s} \rightarrow\{0,1\}^{m_c}</math>

а внутреннее представление подсчитывается:

<math>h_i=C(h_{i-1}, M_i, bits, salt)</math> , где

<math>bits</math> - количество бит, захэшированных к этому времени.

Поэтому алгоритм может быть описан следующими шагами:

  1. Дополнить сообщение <math>M</math> в соответствии с нижеописанной схемой.
  2. Подсчитать начальное значение <math>IV_m</math> для внутренней ячейки размера m в соответствии с с алгоритмом, описанным ниже.
  3. Итеративно пройти по дополненному сообщению (соответственно разбитому на части) , добавляя соль на каждом шаге. Стоит отметить, что если к сообщению добавляется дополнительный блок ( в самый конец), то для этого блока выставляем значение <math>bits</math> равное нулю.
  4. Обрезать последнее, выходное, значение функции,если необходимо.

Дополнение сообщения

В HAIFA сообщение M дополняется единицей, необходимым количеством нулей, длиной сообщения в битах и размером внутреннего блока h. Т.е добавляем последовательность ( количество единиц в данном случае должно быть таким, чтобы <math>N_1+N_0\equiv N- (M_{length}+D_{size}) mod N</math> :

<math>0+{1..1}+bits+m_c</math>

Хэшируя сообщение , дополненное размером внутреннего блока, мы избавляемся от проблемы нахождения коллизий, так как если два сообщения M1 и M2 хэшируются с размерами блока l1 и l2 , то от коллизий спасает именно последний блок.

В свою очередь, добавляя bits = 0 в самом последнем блоке, мы создаем сигнал для обозначения последнего и дополняющего блока.

Стоит отметить, что имея возможность дополнять исходное сообщение, в данном алгоритме мы также можем обрезать зашифрованное, тем самым варьируя размер хэша.

Стойкость алгоритма

Доказательство того, что HAIFA устойчив к коллизиям, если функция сжатия устойчива к коллизиям, проводится аналогично доказательству для Меркла-Дамгарда.

Можно с уверенностью сказать, что количество захэшированных бит значительно затрудняет поиск и использование фиксированных точек. Даже найдя такое h и M , для которых выполняется <math>h_i=C(h_{i}, M_i, bits, salt)</math>, мы не сможем бесконечно размножать эти значения в нашем алгоритме,потому что количество битов будет все время меняться.

Соль (salt), как и bits, тоже вносит свой вклад в стойкость нового алгоритма. Она обладает тройкой очень неплохих свойств:

  1. Дает возможность устанавливать безопасность хэш-функций в теоретической модели.
  2. Заставляет атаки, базирующиеся на предварительных расчетах, переносить все свои вычисления в онлайн режим, в силу того, что значение соли неизвестно заранее.
  3. Повышает безопасность электронных подписей ( так как каждый раз приходится учитывать то , что есть некоторое случайное значение).

Но гораздо нагляднее будет показать , как HAIFA справляется с вышеупомянутыми атаками:

Атака множественных коллизий:

От атаки на множественные колизиции не защищена ни одна итеративная схема формирования хэш-функции. После вышеописанных модификаций, сделанных над алгоритмом Меркла-Дамгарда, конечно сложность нахождения коллизий для каждого блока не изменилась, но так как появилось случайное подмешанное значение, атакующий не может заранее перебирать варианты этих коллизий, не знаю случайного значения. Расчеты переходят в онлайн режим.

Атаки, основанные на фиксированных точках:

В данном случае HAIFA защищает от атаки, основанной на фиксированных точках, так как наличие соли и поля, содержащего количество захэшированных бит сводит к минимуму вероятность появления повторения значений сжимающей функции.

Хэрдинг атака:

В HAIFA невозможно провести первую фазу хэрдинг атаки, пока неизвестно значение соли. То есть тот brute-force, который излагался выше, уже провести нельзя.Условие успешного отражения атаки - длина подмешиваемого сообщения, если желаемая сложность атаки ставится на уровне <math>O(2^m)</math>, должна быть не менее <math>\frac{m_c}{2}</math> символов. Если этого правила не придерживаться, то возможны некоторые предварительные расчеты, приводящие к взлому алгоритма. Если значение соли все же было найдено, то потребуется некоторое время для поиска нужного места в сообщении в силу наличия поля <math>bits </math>.

Сложность атак на алгоритмы Меркла-Дамгарда и HAIFA

Тип атаки Идеальная хэш-функция MD HAIFA

(фиксированное значение

соли)

HAIFA

(с различными значениями соли)

Атака на первый прообраз <math>2^{m_c}</math> <math>2^{m_c}</math> <math>2^{m_c}</math> <math>2^{m_c}</math>
Атака на один из первых прообразов <math>{\displaystyle 2^{m_{c}}}/k'</math> <math>{\displaystyle 2^{m_{c}}}/k'</math> <math>{\displaystyle 2^{m_{c}}}/k'</math> <math>2^{m_c}</math>
Атака на второй прообраз <math>2^{m_c}</math> <math>2^{m_c}/k</math> <math>2^{m_c}</math> <math>2^{m_c}</math>
Атака на один из вторых прообразов <math>{\displaystyle 2^{m_{c}}}/k'</math> <math>2^{m_c}/k</math> <math>{\displaystyle 2^{m_{c}}}/k'</math> <math>2^{m_c}</math>
Коллизии <math>2^{m_c/2}</math> <math>2^{m_c/2}</math> <math>2^{m_c/2}</math> <math>2^{m_c/2}</math>
Множественные коллизии <math>2^{m_c(k-1)/k}</math> <math>\left \lceil {log_2k} \right \rceil2^{m_c/2}</math> <math>\left \lceil {log_2k} \right \rceil2^{m_c/2}</math> <math>\left \lceil {log_2k} \right \rceil2^{m_c/2}</math>
Herding - Offline:<math>2^{m_c/2+t/2}</math>

Online:<math>2^{m_c-t}</math>

Offline:<math>2^{m_c/2+t/2}</math>

Online:<math>2^{m_c-t}</math>

Offline:<math>2^{m_c/2+t/2+s}</math>

Online:<math>2^{m_c-t}</math>

Некоторые приложения HAIFA

HAIFA может являться основой множества алгоритмов, так как представляет cобой новую, усовершенствованную базовую конструкцию. На ней могут быть основаны Randomized Hashing[1], Enveloped Merkle-Damgard[2], RMC, ROX, Wide-Pipe Hash[3].

Пример : Wide-Pipe хэш

Один из наиболее интуитивных способов конструкции хэш-функции, который можно получить из HAIFA. Желая повысить сложность, делаем длину внутренних блоков в два раза больше, чем длину конечного блока. Можно непосредственно вывести формулу для Wide-Pipe, помня о том, что находить в HAIFA последний блок очень легко, так как bits там выставлены ноль). Формула для перевода из HAIPA в Wide-Pipe:

<math>C_{HAIFA}(h_{i-1}, M_i, bits, s) = \begin{cases} C(C'(IV_2, h_{i-1} || fixpad(M_i))), & \text{if }\text{ last block} \\ C'(h_{i-1}, M_i), & \text{ }\text{otherwise} \end{cases}</math>

где <math>C':\{0,1\}^{m_c}\times\{0,1\}^n\rightarrow\{0,1\}^{m_c}</math>

<math> C:\{0,1\}^{m_{c}}\rightarrow\{0,1\}^{m}</math>

<math>IV_2</math> - второй вектор инициализации.

Прикладное значение

Способ, предложенный учеными для HAIFA, имеет важное прикладное значение с точки зрения электронных подписей : с введением количества бит и соли стало сложнее добавлять префиксы и суффиксы к сообщению (herd attack) , а следовательно подменять сообщения для подписи.

См. также

Напишите отзыв о статье "HAIFA"

Примечания

  1. Shai Halevi [www.iacr.org/archive/crypto2006/41170039/41170039.pdf Strengthening Digital Signatures via Randomized Hashing].
  2. Mihir Bellare, Thomas Ristenpart [pages.cs.wisc.edu/~rist/papers/ac06pres.pdf Multi-Property-Preserving Hash Domain Extension and the EMD Transform (Enveloped Merkle-Damgard)] // -.
  3. Dustin Moody [eprint.iacr.org/2011/630.pdf Indifferentiability Security of the Fast Wide Pipe Hash: Breaking the Birthday Barrier] // -.

Литература

  • Eli Biham and Orr Dunkelman. [eprint.iacr.org/2007/278 A framework for iterative hash functions - HAIFA]. — ePrint, 2007.
  • Orr Dunkelman. [www.cs.haifa.ac.il/~orrd/crypt/Lorentz-Haifa.pdf Re-visiting HAIFA. Talk at the workshop Hash functions in cryptology: theory and practice]. — 2008. — 207 с.
  • [citeseerx.ist.psu.edu/viewdoc/download?rep=rep1&type=pdf&doi=10.1.1.218.1717 Modern Hash Function Construction], 2011
  • eprint.iacr.org/2005/281.pdf
  • [www.cosic.esat.kuleuven.be/publications/thesis-209.pdf#page=31]
  • Enveloped Merkle-Damgard. pages.cs.wisc.edu/~rist/papers/ac06pres.pdf

Отрывок, характеризующий HAIFA

– Charmant, – прошептала маленькая княгиня, втыкая иголку в работу, как будто в знак того, что интерес и прелесть рассказа мешают ей продолжать работу.
Виконт оценил эту молчаливую похвалу и, благодарно улыбнувшись, стал продолжать; но в это время Анна Павловна, все поглядывавшая на страшного для нее молодого человека, заметила, что он что то слишком горячо и громко говорит с аббатом, и поспешила на помощь к опасному месту. Действительно, Пьеру удалось завязать с аббатом разговор о политическом равновесии, и аббат, видимо заинтересованный простодушной горячностью молодого человека, развивал перед ним свою любимую идею. Оба слишком оживленно и естественно слушали и говорили, и это то не понравилось Анне Павловне.
– Средство – Европейское равновесие и droit des gens [международное право], – говорил аббат. – Стоит одному могущественному государству, как Россия, прославленному за варварство, стать бескорыстно во главе союза, имеющего целью равновесие Европы, – и она спасет мир!
– Как же вы найдете такое равновесие? – начал было Пьер; но в это время подошла Анна Павловна и, строго взглянув на Пьера, спросила итальянца о том, как он переносит здешний климат. Лицо итальянца вдруг изменилось и приняло оскорбительно притворно сладкое выражение, которое, видимо, было привычно ему в разговоре с женщинами.
– Я так очарован прелестями ума и образования общества, в особенности женского, в которое я имел счастье быть принят, что не успел еще подумать о климате, – сказал он.
Не выпуская уже аббата и Пьера, Анна Павловна для удобства наблюдения присоединила их к общему кружку.


В это время в гостиную вошло новое лицо. Новое лицо это был молодой князь Андрей Болконский, муж маленькой княгини. Князь Болконский был небольшого роста, весьма красивый молодой человек с определенными и сухими чертами. Всё в его фигуре, начиная от усталого, скучающего взгляда до тихого мерного шага, представляло самую резкую противоположность с его маленькою, оживленною женой. Ему, видимо, все бывшие в гостиной не только были знакомы, но уж надоели ему так, что и смотреть на них и слушать их ему было очень скучно. Из всех же прискучивших ему лиц, лицо его хорошенькой жены, казалось, больше всех ему надоело. С гримасой, портившею его красивое лицо, он отвернулся от нее. Он поцеловал руку Анны Павловны и, щурясь, оглядел всё общество.
– Vous vous enrolez pour la guerre, mon prince? [Вы собираетесь на войну, князь?] – сказала Анна Павловна.
– Le general Koutouzoff, – сказал Болконский, ударяя на последнем слоге zoff , как француз, – a bien voulu de moi pour aide de camp… [Генералу Кутузову угодно меня к себе в адъютанты.]
– Et Lise, votre femme? [А Лиза, ваша жена?]
– Она поедет в деревню.
– Как вам не грех лишать нас вашей прелестной жены?
– Andre, [Андрей,] – сказала его жена, обращаясь к мужу тем же кокетливым тоном, каким она обращалась к посторонним, – какую историю нам рассказал виконт о m lle Жорж и Бонапарте!
Князь Андрей зажмурился и отвернулся. Пьер, со времени входа князя Андрея в гостиную не спускавший с него радостных, дружелюбных глаз, подошел к нему и взял его за руку. Князь Андрей, не оглядываясь, морщил лицо в гримасу, выражавшую досаду на того, кто трогает его за руку, но, увидав улыбающееся лицо Пьера, улыбнулся неожиданно доброй и приятной улыбкой.
– Вот как!… И ты в большом свете! – сказал он Пьеру.
– Я знал, что вы будете, – отвечал Пьер. – Я приеду к вам ужинать, – прибавил он тихо, чтобы не мешать виконту, который продолжал свой рассказ. – Можно?
– Нет, нельзя, – сказал князь Андрей смеясь, пожатием руки давая знать Пьеру, что этого не нужно спрашивать.
Он что то хотел сказать еще, но в это время поднялся князь Василий с дочерью, и два молодых человека встали, чтобы дать им дорогу.
– Вы меня извините, мой милый виконт, – сказал князь Василий французу, ласково притягивая его за рукав вниз к стулу, чтоб он не вставал. – Этот несчастный праздник у посланника лишает меня удовольствия и прерывает вас. Очень мне грустно покидать ваш восхитительный вечер, – сказал он Анне Павловне.
Дочь его, княжна Элен, слегка придерживая складки платья, пошла между стульев, и улыбка сияла еще светлее на ее прекрасном лице. Пьер смотрел почти испуганными, восторженными глазами на эту красавицу, когда она проходила мимо него.
– Очень хороша, – сказал князь Андрей.
– Очень, – сказал Пьер.
Проходя мимо, князь Василий схватил Пьера за руку и обратился к Анне Павловне.
– Образуйте мне этого медведя, – сказал он. – Вот он месяц живет у меня, и в первый раз я его вижу в свете. Ничто так не нужно молодому человеку, как общество умных женщин.


Анна Павловна улыбнулась и обещалась заняться Пьером, который, она знала, приходился родня по отцу князю Василью. Пожилая дама, сидевшая прежде с ma tante, торопливо встала и догнала князя Василья в передней. С лица ее исчезла вся прежняя притворность интереса. Доброе, исплаканное лицо ее выражало только беспокойство и страх.
– Что же вы мне скажете, князь, о моем Борисе? – сказала она, догоняя его в передней. (Она выговаривала имя Борис с особенным ударением на о ). – Я не могу оставаться дольше в Петербурге. Скажите, какие известия я могу привезти моему бедному мальчику?
Несмотря на то, что князь Василий неохотно и почти неучтиво слушал пожилую даму и даже выказывал нетерпение, она ласково и трогательно улыбалась ему и, чтоб он не ушел, взяла его за руку.
– Что вам стоит сказать слово государю, и он прямо будет переведен в гвардию, – просила она.
– Поверьте, что я сделаю всё, что могу, княгиня, – отвечал князь Василий, – но мне трудно просить государя; я бы советовал вам обратиться к Румянцеву, через князя Голицына: это было бы умнее.
Пожилая дама носила имя княгини Друбецкой, одной из лучших фамилий России, но она была бедна, давно вышла из света и утратила прежние связи. Она приехала теперь, чтобы выхлопотать определение в гвардию своему единственному сыну. Только затем, чтоб увидеть князя Василия, она назвалась и приехала на вечер к Анне Павловне, только затем она слушала историю виконта. Она испугалась слов князя Василия; когда то красивое лицо ее выразило озлобление, но это продолжалось только минуту. Она опять улыбнулась и крепче схватила за руку князя Василия.
– Послушайте, князь, – сказала она, – я никогда не просила вас, никогда не буду просить, никогда не напоминала вам о дружбе моего отца к вам. Но теперь, я Богом заклинаю вас, сделайте это для моего сына, и я буду считать вас благодетелем, – торопливо прибавила она. – Нет, вы не сердитесь, а вы обещайте мне. Я просила Голицына, он отказал. Soyez le bon enfant que vous аvez ete, [Будьте добрым малым, как вы были,] – говорила она, стараясь улыбаться, тогда как в ее глазах были слезы.
– Папа, мы опоздаем, – сказала, повернув свою красивую голову на античных плечах, княжна Элен, ожидавшая у двери.
Но влияние в свете есть капитал, который надо беречь, чтоб он не исчез. Князь Василий знал это, и, раз сообразив, что ежели бы он стал просить за всех, кто его просит, то вскоре ему нельзя было бы просить за себя, он редко употреблял свое влияние. В деле княгини Друбецкой он почувствовал, однако, после ее нового призыва, что то вроде укора совести. Она напомнила ему правду: первыми шагами своими в службе он был обязан ее отцу. Кроме того, он видел по ее приемам, что она – одна из тех женщин, особенно матерей, которые, однажды взяв себе что нибудь в голову, не отстанут до тех пор, пока не исполнят их желания, а в противном случае готовы на ежедневные, ежеминутные приставания и даже на сцены. Это последнее соображение поколебало его.
– Chere Анна Михайловна, – сказал он с своею всегдашнею фамильярностью и скукой в голосе, – для меня почти невозможно сделать то, что вы хотите; но чтобы доказать вам, как я люблю вас и чту память покойного отца вашего, я сделаю невозможное: сын ваш будет переведен в гвардию, вот вам моя рука. Довольны вы?
– Милый мой, вы благодетель! Я иного и не ждала от вас; я знала, как вы добры.
Он хотел уйти.
– Постойте, два слова. Une fois passe aux gardes… [Раз он перейдет в гвардию…] – Она замялась: – Вы хороши с Михаилом Иларионовичем Кутузовым, рекомендуйте ему Бориса в адъютанты. Тогда бы я была покойна, и тогда бы уж…
Князь Василий улыбнулся.
– Этого не обещаю. Вы не знаете, как осаждают Кутузова с тех пор, как он назначен главнокомандующим. Он мне сам говорил, что все московские барыни сговорились отдать ему всех своих детей в адъютанты.
– Нет, обещайте, я не пущу вас, милый, благодетель мой…
– Папа! – опять тем же тоном повторила красавица, – мы опоздаем.
– Ну, au revoir, [до свиданья,] прощайте. Видите?
– Так завтра вы доложите государю?
– Непременно, а Кутузову не обещаю.
– Нет, обещайте, обещайте, Basile, [Василий,] – сказала вслед ему Анна Михайловна, с улыбкой молодой кокетки, которая когда то, должно быть, была ей свойственна, а теперь так не шла к ее истощенному лицу.
Она, видимо, забыла свои годы и пускала в ход, по привычке, все старинные женские средства. Но как только он вышел, лицо ее опять приняло то же холодное, притворное выражение, которое было на нем прежде. Она вернулась к кружку, в котором виконт продолжал рассказывать, и опять сделала вид, что слушает, дожидаясь времени уехать, так как дело ее было сделано.
– Но как вы находите всю эту последнюю комедию du sacre de Milan? [миланского помазания?] – сказала Анна Павловна. Et la nouvelle comedie des peuples de Genes et de Lucques, qui viennent presenter leurs voeux a M. Buonaparte assis sur un trone, et exaucant les voeux des nations! Adorable! Non, mais c'est a en devenir folle! On dirait, que le monde entier a perdu la tete. [И вот новая комедия: народы Генуи и Лукки изъявляют свои желания господину Бонапарте. И господин Бонапарте сидит на троне и исполняет желания народов. 0! это восхитительно! Нет, от этого можно с ума сойти. Подумаешь, что весь свет потерял голову.]
Князь Андрей усмехнулся, прямо глядя в лицо Анны Павловны.
– «Dieu me la donne, gare a qui la touche», – сказал он (слова Бонапарте, сказанные при возложении короны). – On dit qu'il a ete tres beau en prononcant ces paroles, [Бог мне дал корону. Беда тому, кто ее тронет. – Говорят, он был очень хорош, произнося эти слова,] – прибавил он и еще раз повторил эти слова по итальянски: «Dio mi la dona, guai a chi la tocca».
– J'espere enfin, – продолжала Анна Павловна, – que ca a ete la goutte d'eau qui fera deborder le verre. Les souverains ne peuvent plus supporter cet homme, qui menace tout. [Надеюсь, что это была, наконец, та капля, которая переполнит стакан. Государи не могут более терпеть этого человека, который угрожает всему.]
– Les souverains? Je ne parle pas de la Russie, – сказал виконт учтиво и безнадежно: – Les souverains, madame! Qu'ont ils fait pour Louis XVII, pour la reine, pour madame Elisabeth? Rien, – продолжал он одушевляясь. – Et croyez moi, ils subissent la punition pour leur trahison de la cause des Bourbons. Les souverains? Ils envoient des ambassadeurs complimenter l'usurpateur. [Государи! Я не говорю о России. Государи! Но что они сделали для Людовика XVII, для королевы, для Елизаветы? Ничего. И, поверьте мне, они несут наказание за свою измену делу Бурбонов. Государи! Они шлют послов приветствовать похитителя престола.]
И он, презрительно вздохнув, опять переменил положение. Князь Ипполит, долго смотревший в лорнет на виконта, вдруг при этих словах повернулся всем телом к маленькой княгине и, попросив у нее иголку, стал показывать ей, рисуя иголкой на столе, герб Конде. Он растолковывал ей этот герб с таким значительным видом, как будто княгиня просила его об этом.
– Baton de gueules, engrele de gueules d'azur – maison Conde, [Фраза, не переводимая буквально, так как состоит из условных геральдических терминов, не вполне точно употребленных. Общий смысл такой : Герб Конде представляет щит с красными и синими узкими зазубренными полосами,] – говорил он.
Княгиня, улыбаясь, слушала.
– Ежели еще год Бонапарте останется на престоле Франции, – продолжал виконт начатый разговор, с видом человека не слушающего других, но в деле, лучше всех ему известном, следящего только за ходом своих мыслей, – то дела пойдут слишком далеко. Интригой, насилием, изгнаниями, казнями общество, я разумею хорошее общество, французское, навсегда будет уничтожено, и тогда…
Он пожал плечами и развел руками. Пьер хотел было сказать что то: разговор интересовал его, но Анна Павловна, караулившая его, перебила.
– Император Александр, – сказала она с грустью, сопутствовавшей всегда ее речам об императорской фамилии, – объявил, что он предоставит самим французам выбрать образ правления. И я думаю, нет сомнения, что вся нация, освободившись от узурпатора, бросится в руки законного короля, – сказала Анна Павловна, стараясь быть любезной с эмигрантом и роялистом.