Rabbit
Rabbit — высокоскоростной поточный шифр впервые представленный[1] в феврале 2003 года на 10-м симпозиуме FSE. В мае 2005, он был отправлен на конкурс eStream, целью которого было создание европейских стандартов для поточных систем шифрования.
Разработчиками Rabbit являются Martin Boesgaard, Mette Vesterager, Thomas Pedersen, Jesper Christiansen и Ove Scavenius.
Rabbit используют 128-битный ключ и 64-битный инициализирующий вектор. Шифр был разработан с целью использования в программном обеспечении, как обладающий высокой скоростью шифрования. При этом скорость шифрования могла достигать 3.7 циклов в байт(CPB) для процессора Pentium 3 и 10.5 циклов в байт для ARM7. Тем не менее, шифр также оказался быстрым и компактным при реализации в аппаратном обеспечении.
Основным компонентом шифра является генератор битового потока, который шифрует 128 битов сообщения за итерацию. Достоинство шифра в тщательном перемешивании его внутренних состояний между двумя последовательными итерациями. Функция перемешивания полностью основана на арифметических операциях, доступных на современных процессорах, то есть S-блоки подстановок и поисковые таблицы не нужны для реализации шифра.
Авторы шифра предоставили полный набор технических описаний на домашней странице Cryptico.[2]. Шифр также описан в RFC 4503. Cryptico обладала патентом на шифр, и многие годы для использования шифра в коммерческих целях требовалась лицензия. Однако, 6 октября 2008 шифр разрешили использовать для любых целей бесплатно.[3]
Содержание
Rabbit и eStream[4]
Конкурс eStream
Поточные симметричные шифры проекта eSTREAM составляют два профиля. В Профиль 1 входят шифры, ориентированные на программную реализацию, а в Профиль 2 — шифры, ориентированные на аппаратную реализацию.
Лучшие шифры проекта:
Профиль 1 | Профиль 2 |
---|---|
HC-128 | F-FCSR-H v2 |
Rabbit | Grain v1 |
Salsa20/12 | MICKEY v2 |
Sosemanuk | Trivium |
В Профиль 1 вошли поточные симметричные шифры с хорошей программной реализацией. Настолько хорошей, что должны были превосходить по скоростным показателям блочный симметричный алгоритм шифрования AES в режимах генерации гаммы. Основным требованием к этому профилю было обеспечение уровня безопасности в 128 бит.
Достоинства и недостатки шифра Rabbit
Rabbit является одной из старейших конструкций проекта eSTREAM. Данный поточный шифр не был подвержен каким-либо модификациям или дополнениям. Его спецификация оставалась неизменной с 2003 года и по данный момент. Шифр пережил все три этапа проекта и ни на одном не был подвержен криптоаналитическим атакам. Кроме всего прочего, данный алгоритм очень хорошо реализуется на новых процессорах семейства Intel. Как недостаток можно заметить тот факт, что шифр Rabbit обеспечивает уровень безопасности только в 128 бит.
Результаты заключительного голосования проекта eSTREAM по Профилю 1.
Профиль 1 | очки |
---|---|
Rabbit | 2.80 |
Salsa20 | 2.80 |
Sosemanuk | 1.20 |
HC-128 | 0.60 |
NLS v2 | -0.60 |
LEX v2 | -1.20 |
CryptMT v3 | -1.40 |
Dragon | -1.60 |
Алгоритм
Внутреннее состояние поточного шифра содержит 513 битов. 512 из них поделены на восемь 32-битных переменных состояний <math>x_{j,i}</math> и восемь 32-битных счётчиков <math>c_{j,i}</math> , где <math>x_{j,i}</math> — переменная состояния подсистемы <math>j</math> при итерации <math>i</math> , а <math>c_{j,i}</math> — обозначает соответствующий счетчик переменных. 513-й бит — бит переноса φ<math>_{7,i}</math> , который необходимо хранить между итерациями. Этот бит инициализируется нулём. 8 переменных состояний и 8 счётчиков зависят от ключа при инициализации.
Схема установки ключа
Алгоритм инициализируется расширением 128-битного ключа на 8 переменных состояния и 8 счётчиков так, что существует взаимно однозначное соответствие между ключом, начальными переменными состояний, <math>x_{j,0}</math> , и начальными счётчиками, <math>c_{j,0}</math> . Ключ, <math>K^{[127..0]} </math>, поделен на 8 подключей: <math>k_0^{[15..0]} </math>, <math>k_1^{[31..16]} </math>, … , <math>k_7^{[127..112]} </math>, переменные состояний и счётчики инициализируются при помощи подключей:
x_{j,0}= \begin{cases} k_{(j+1 \mod 8)} \diamond k_j , \ \ for \ j \ even\\ k_{(j+5 \mod 8)} \diamond k_{(j+4 \mod 8)}, \ \ for \ j \ odd \\ \end{cases} </math> |
c_{j,0}= \begin{cases} k_{(j+4 \mod 8)} \diamond k_{(j+5 \mod 8)} , \ \ for \ j \ even \\ k_j \diamond k_{(j+1 \mod 8)}, \ \ for \ j \ odd \\ \end{cases} </math> |
(где <math>\diamond </math> — операция конкатенации)
Система прогоняется 4 раза, согласно функции следующего состояния, определённой ниже, чтобы понизить корреляцию между битами ключа и битами переменных внутреннего состояния. В конце счётчики реинициализируются следующим образом:
- <math>c_{j,4}=c_{j,4} \oplus x_{(j+4 mod 8),4} \quad, </math>
для предотвращения восстановления ключа путём инверсии системы счётчиков.
Функция следующего состояния
- <math>x_{0, i+1} = g_{0,i} + (g_{7,i}\lll16) + (g_{6,i}\lll16) </math>
- <math> x_{1,i+1} = g_{1,i} + (g_{0,i}\lll8) + g_{7,i} </math>
- <math> x_{2,i+1} = g_{2,i} + (g_{1,i}\lll16) + (g_{0,i}\lll16) </math>
- <math> x_{3,i+1} = g_{3,i} + (g_{2,i}\lll8) + g_{1,i} </math>
- <math> x_{4,i+1} = g_{4,i} + (g_{3,i}\lll16) + (g_{2,i}\lll16) </math>
- <math> x_{5,i+1} = g_{5,i} + (g_{4,i}\lll8) + g_{3,i} </math>
- <math> x_{6,i+1} = g_{6,i} + (g_{5,i}\lll16) + (g_{4,i}\lll16) </math>
- <math> x_{7,i+1} = g_{7,i} + (g_{6,i}\lll8) + g_{5,i} </math>
- <math> g_{j,i} = \operatorname{LSW}\,((x_{j,i} + c_{j,i})^2) \oplus \operatorname{MSW}\,((x_{j,i} + c_{j,i})^2) </math>
Здесь все сложения по модулю 2^32. Функции <math>\operatorname{LSW}\,(x)</math> и <math>\operatorname{MSW}\,(x)</math> возвращают, соответственно, младшие и старшие четыре байта 64-разрядного числа <math>x</math>.
<math>\lll</math> — циклический сдвиг влево.
Система счетчиков
Уравнения, задающие изменение системы счетчиков:
- <math>c_{0,i+1} = c_{0,i} + a_0 + \phi_{7,i} \mod 2^{32} </math>
- <math>c_{1,i+1} = c_{1,i} + a_1 + \phi_{0,i+1} \mod 2^{32} </math>
- <math>c_{2,i+1} = c_{2,i} + a_2 + \phi_{1,i+1} \mod 2^{32} </math>
- <math>c_{3,i+1} = c_{3,i} + a_3 + \phi_{2,i+1} \mod 2^{32} </math>
- <math>c_{4,i+1} = c_{4,i} + a_4 + \phi_{3,i+1} \mod 2^{32} </math>
- <math>c_{5,i+1} = c_{5,i} + a_5 +\phi_{4,i+1} \mod 2^{32} </math>
- <math>c_{6,i+1} = c_{6,i} + a_6 +\phi_{5,i+1} \mod 2^{32} </math>
- <math>c_{7,i+1} = c_{7,i} + a_7 +\phi_{6,i+1} \mod 2^{32} </math>
где счетчик бита переноса, φ<math>_{j,i+1}</math>, задается:
Кроме того, константы <math>a_j</math> определяются как:
- <math>a_0 = 0x4D34D34D \ \ a_1 = 0xD34D34D3</math>
- <math>a_2 = 0x34D34D34 \ \ a_3 = 0x4D34D34D</math>
- <math>a_4 = 0xD34D34D3 \ \ a_5 = 0x34D34D34 </math>
- <math>a_6 = 0x4D34D34D \ \ a_7 = 0xD34D34D3</math>
Схема извлечения
После каждой итерации, 128 битов выхода генерируется по следующим формулам:
- <math> s^{[15..0]}_i = x^{[15..0]}_{0,i} \oplus x^{[31..16]}_{5,i} </math>
- <math> s^{[31..16]}_ i = x^{[31..16] }_{0,i }\oplus x^{[15..0]}_{3,i} </math>
- <math> s^{[47..32]}_i = x^{[15..0]}_{2,i }\oplus x^{[31..16]}_{7,i } </math>
- <math> s^{[63..48]}_i = x^{[31..16]}_{2,i} \oplus x^{[15..0]}_{5,i} </math>
- <math> s^{[79..64]}_i = x^{[15..0]}_{4,i }\oplus x^{[31..16]}_{1,i } </math>
- <math> s^{[95..80]}_i = x^{[31..16]}_{4,i} \oplus x^{[15..0]}_{7,i} </math>
- <math> s^{[111..96]}_i = x^{[15..0]}_{6,i }\oplus x^{[31..16]}_{3,i } </math>
- <math> s^{[127..112]}_i = x^{[31..16]}_{6,i}\oplus x^{[15..0]}_{1,i} </math>
где <math> s_i</math> 128-ми битный блок шифрующего потока на <math> i</math>-той итерации.
Схема шифрования и расшифрования
Выполняется операция XOR между извлеченными битами и текстом/шифротекстом для шифрования/дешифрования.
- <math>c_i = p_i \oplus s_i, </math>
- <math>p_i = c_i \oplus s_i, </math>
где <math>c_i</math> и <math> p_i </math> обозначают <math>i</math>-тый блок шифротекста и текста соответственно.
Свойства схемы установки ключа
Установку ключа можно разделить на три этапа: расширение ключа, система итераций, модификация счетчика.
- Этап расширения ключа гарантирует взаимно однозначное соответствие между ключом состояния и ключом счётчика, который предотвращает избыток ключей. Он также распределяет биты ключа оптимальным образом для итераций.
- Система итераций гарантирует, что после одной итерации функции следующего состояния каждый бит ключа повлияет на все восемь переменных состояния. Это также гарантирует, что после второй итерации функции следующего состояния все биты ключа повлияют на все биты состояния с вероятностью 0,5. Для надёжности шифрования итерацию проделывают четыре раза.
- Даже если счетчики будут известны злоумышленнику, модификация счётчика сильно усложняет восстановление ключа путём инвертирования счётчика системы, так как потребуются сведения о переменных состояния, также это нарушает взаимно однозначное соотношение между ключом и счетчиком.
Безопасность
Rabbit предоставляет 128-битную защиту против атакующих, чья цель — один уникальный ключ. Если же атака происходит на несколько ключей за раз, и всё равно, который из них взломают, то защищённость снижается до 96 бит.[5].
Атаки на функцию установления ключа
После того, как ключ задан, биты счётчика и состояния строго и очень нелинейно зависят от бит ключа. Это усложняет взлом для атак на основе угадывания части ключа, даже если биты счётчика были известны после модификации счётчика. Конечно, знание счётчиков делает другие виды взломов легче.
Атака, основанная на коллизии
В шифре Rabbit используется неоднозначное отображение, разные ключи потенциально могут привести к той же гамме. Эта проблема в основном сводится к вопросу о том, что разные ключи приводят к одним и тем же значениям счётчика, так как различные значения счётчика почти наверняка приведут к разным генерациям гаммы. Надо обратить внимание, что расширение ключа и система итераций были разработаны таким образом, что каждый ключ приводит к уникальным значениям счетчика. Тем не менее, модификация счётчика может привести к равным значениям счетчика для двух различных ключей. Полагая, что после четырёх начальных итераций внутреннее состояние, по существу, случайное и не коррелирует с системой счётчиков, вероятность коллизий задается «парадоксом дней рождения», то есть для всех <math>2^{128}</math> ключей одна коллизия ожидается в 256-битным счетчиком[уточнить]. Таким образом, коллизия системы счетчиков не должна вызывать проблем на практике.
Атака со связанным ключом
Атака основана на использовании свойств симметрии в функциях следующего состояния и установки ключа. Рассмотрим, например, два ключа <math>K</math> и <math> \tilde K</math> связанные соотношением <math>K^{[i]} = \tilde K^{[i+2]}</math> для всех <math>i</math>. Это приводит к соотношению <math>x_{j,0} = \tilde x_{j+2,0}</math> и <math>c_{j,0} = \tilde c_{j+2,0}</math>. Теперь рассмотрим, когда <math>K</math> и <math>\tilde K</math> — один и тот же ключ. Если условие <math>a_{j,0} = \tilde a_{j+2,0}</math> выполнено, то функция следующего состояния сохранила бы свойство симметрии. Но можно легко проверить, что константы <math>a_j</math>, выбраны так, что <math>a_{j,0} \ne \tilde a_{j+2,0}</math>. Таким образом, функция следующего состояния не подвержена атаке на основе связанного ключа.
Атака на основе частичного угадывания ключа
Guess-and-Verify Attack
Такая атака станет возможной, если выходные биты можно будет предсказать с помощью небольшого набора битов внутреннего состояния. Злоумышленник должен отгадать соответствующую часть переменных состояния, предсказать выходные биты и сравнить их с непосредственно наблюдаемыми битами на выходе, чтобы удостовериться в правильности своей догадки. Злоумышленник должен угадать, по крайней мере, 2*12 входных байт для различных g-функций для проверки в отношении одного байта. Это равносильно угадыванию 192 битов, что сложнее, чем полный перебор всех ключей.
Guess-and-Determine Attack
Суть этого метода заключается в том, что надо угадать несколько неизвестных переменных шифра и, используя их, вывести оставшиеся неизвестные. После этого систему прогоняют несколько раз, и то что получилось на выходе сравнивают с реальным выходными данными шифра для проверки предположения. Злоумышленник пытается воссоздать 512 бит внутреннего состояния, то есть он наблюдает 4 последовательных 128-битных данных на выходе шифра и делает следующее:
- Разделяет 32-битный счётчик и 32-битную переменную состояния на 8-битовые переменные.
- Составляет систему уравнений, которая моделирует изменение счётчиков и переменных состояния, и выходные данные. В итоге получается 160 уравнений и 160 неизвестных.
- Решает эту систему, угадывая как можно больше неизвестных.
Эффективность такого подхода зависит от количества угаданных переменных. Это количество ограниченно снизу 8-битовой подсистемой с наименьшим количеством входных переменных. Если пренебречь счетчиками, каждый байт функции следующего состояния зависит от 12 входных байт. Если учитывать счётчики, каждый байт на выходе подсистемы зависит уже от 24 входных байт. Следовательно, злоумышленник должен угадать более чем 128 бит, таким образом, делая нападение невыполнимым.
Алгебраические атаки
Алгебраически нормальная форма(АНФ) g-функции
Дана Булева функция <math>f : (0,1)^n \rightarrow (0,1)</math> , АНФ является представлением <math>f</math> как многомерного полинома(то есть сумма одночленов от входных переменных). Большое количество одночленов и их хорошее распределение по степеням — важные свойства нелинейных блоков в шифре.
Для случайной Булевой функции в 32 переменных среднее число одночленов равняется <math>2^{31}</math>, а среднее число одночленов, включающие все данные переменные — <math>2^{30}</math>. Если мы рассмотрим 32 такие функции, выбранные случайным образом, то среднее число одночленов, которых нет ни в одной из 32 функций, равно 1, и соответствующая дисперсия также равна 1.
Для g-функции в шифре Rabbit, АНФ для 32 булевых подфункций имеют, по крайней мере, степень 30. Число одночленов варьируется от <math>2^{24.5}</math> до <math>2^{30.9}</math>, где для случайной функции оно должно быть <math>2^{31}</math>. Распределение одночленов как функции степени представлено на рисунке. В идеале, основная часть должна была находиться промежутке между пунктирными линиями, которые показывают отклонения от среднего для идеальной случайной функции. Некоторые Булевы функции значительно расходятся с результатами для случайной функции, однако, все они имеют большое число одночленов высокой степени.
К тому же, исследовалось частичное совпадение 32 функций. Общее число одночленов, которые встречаются один раз, равно <math>2^{26.03}</math>, в то время как число одночленов, которые не встречаются вовсе — <math>2^{26.2}</math>. Если сравнить со случайной функцией, то это довольно большие отклонения. Эта информация может быть полезна для анализа шифра в будущем.
Алгебраически нормальная форма(АНФ) для полного шифра
Практически невозможно рассчитать АНФ для всех битов на выходе для полного шифра. Но уменьшение размера ключа с 128 бит до 32 бит делает это возможным для изучения 32 булевых функций на выходе как функцию от 32 битного ключа.
Для урезанной версии шифра Rabbit была исследована функция установки для различного числа итераций. АНФ определяется после 0, 1, 2, 3, 4 итераций и одной дополнительной в схеме извлечения. Для 0+1 итераций число одночленов было примерно равно 2^31, как предполагалось для случайной функции. Но после двух итераций результат стабилизировался. Это означает, что больше нет колебаний на выходе. Количество отсутствующих полиномов 0, 1, 2, 3, 1 в итерациях (0+1), …, (4+1) соответственно. Очевидно, что эти данные соответствуют результатам для случайных функций.
Корреляционные атаки
Линейная аппроксимация
Линейная атака подразумевает нахождение лучшего линейного приближения между битами на входе функции следующего состояния и битами на выходе схемы извлечения. Для этого используют Преобразование Уолша — Адамара, полагая, что все входные данные линейно независимы. Было установлено, что наилучшая линейная корреляция имеет коэффициент корреляции порядка <math>2^{-57.8}</math>, что подразумевает генерацию выходных данных от <math>2^{114}</math> итераций, чтобы сравнить со случайной функцией.
Аппроксимация второго порядка
Отсекание из АНФ для g-функции членов выше второго порядка значительно улучшает аппроксимацию при правильных условиях.
Обозначим через <math>f^{[j]}</math> аппроксимацию второго порядка АНФ для <math>g^{[j]}</math>. По результатам эксперимента коэффициент корреляции между <math>f</math> и <math>g</math> составляет менее <math>2^{-9.5}</math>, а коэффициент корреляции между <math>f^{[j]} \oplus f^{[j+1]}</math> и <math>g^{[j]} \oplus g^{[j+1]}</math> примерно равен <math>2^{-2.72}</math>. Это означает, что некоторые члены более высокой степени отсекаются при сложении по модулю 2 двух соседних битов. Построение по этим данным шифра со вторым порядком аппроксимации дает, в лучшем случае, коэффициент корреляции порядка <math>2^{-26.4}</math>. Данное значение коэффициента корреляции является недостаточным для атаки. Если ещё учитывать счетчики, то анализ намного усложняется.
Список литературы
- ↑ M. Boesgaard, M. Vesterager, T. Pedersen, J. Christiansen, O. Scavenius. Rabbit: A High-Performance Stream Cipher. Proc. FSE 2003. Springer LNCS 2887, pp. 307—329 ([web.archive.org/web/20050629021516/www.cryptico.com/Files/filer/rabbit_fse.pdf PDF])
- ↑ M. Boesgaard, T. Pedersen, M. Vesterager, E. Zenner. The Rabbit Stream Cipher — Design and Security Analysis. Proc. SASC 2004. ([www.cryptico.com/files/filer/rabbit_sasc_final.pdf PDF])
- ↑ [www.ecrypt.eu.org/stream/phorum/read.php?1,1244 Phorum :: ECRYPT forum :: Rabbit becomes public domain]
- ↑ The eSTREAM Portfolio Steve Babbage, Christophe De Canni`ere, Anne Canteaut, Carlos Cid, Henri Gilbert, Thomas Johansson, Matthew Parker, Bart Preneel, Vincent Rijmen and Matthew Robshaw6 ([www.ecrypt.eu.org/stream/portfolio.pdf PDF])
- ↑ Christophe De Cannière, Joseph Lano, and Bart Preneel, «Comments on the Rediscovery of Time Memory Data Tradeoffs», 2005. ([www.ecrypt.eu.org/stream/papersdir/040.pdf PDF])
Напишите отзыв о статье "Rabbit"
Ссылки
- [www.cryptico.com Cryptico homepage]
- [www.ietf.org/rfc/rfc4503.txt?number=4503 Rabbit RFC]
- [www.ecrypt.eu.org/stream/rabbitp2.html eSTREAM page on Rabbit]
- [www.cryptomach.com/upload/ru/files/comparative_analysis_of_ssc_of_estream_project.pdf Сравнительный анализ шифров проекта eSTREAM]
|
Отрывок, характеризующий Rabbit
Князь Багратион посмотрел на Тушина и, видимо не желая выказать недоверия к резкому суждению Болконского и, вместе с тем, чувствуя себя не в состоянии вполне верить ему, наклонил голову и сказал Тушину, что он может итти. Князь Андрей вышел за ним.– Вот спасибо: выручил, голубчик, – сказал ему Тушин.
Князь Андрей оглянул Тушина и, ничего не сказав, отошел от него. Князю Андрею было грустно и тяжело. Всё это было так странно, так непохоже на то, чего он надеялся.
«Кто они? Зачем они? Что им нужно? И когда всё это кончится?» думал Ростов, глядя на переменявшиеся перед ним тени. Боль в руке становилась всё мучительнее. Сон клонил непреодолимо, в глазах прыгали красные круги, и впечатление этих голосов и этих лиц и чувство одиночества сливались с чувством боли. Это они, эти солдаты, раненые и нераненые, – это они то и давили, и тяготили, и выворачивали жилы, и жгли мясо в его разломанной руке и плече. Чтобы избавиться от них, он закрыл глаза.
Он забылся на одну минуту, но в этот короткий промежуток забвения он видел во сне бесчисленное количество предметов: он видел свою мать и ее большую белую руку, видел худенькие плечи Сони, глаза и смех Наташи, и Денисова с его голосом и усами, и Телянина, и всю свою историю с Теляниным и Богданычем. Вся эта история была одно и то же, что этот солдат с резким голосом, и эта то вся история и этот то солдат так мучительно, неотступно держали, давили и все в одну сторону тянули его руку. Он пытался устраняться от них, но они не отпускали ни на волос, ни на секунду его плечо. Оно бы не болело, оно было бы здорово, ежели б они не тянули его; но нельзя было избавиться от них.
Он открыл глаза и поглядел вверх. Черный полог ночи на аршин висел над светом углей. В этом свете летали порошинки падавшего снега. Тушин не возвращался, лекарь не приходил. Он был один, только какой то солдатик сидел теперь голый по другую сторону огня и грел свое худое желтое тело.
«Никому не нужен я! – думал Ростов. – Некому ни помочь, ни пожалеть. А был же и я когда то дома, сильный, веселый, любимый». – Он вздохнул и со вздохом невольно застонал.
– Ай болит что? – спросил солдатик, встряхивая свою рубаху над огнем, и, не дожидаясь ответа, крякнув, прибавил: – Мало ли за день народу попортили – страсть!
Ростов не слушал солдата. Он смотрел на порхавшие над огнем снежинки и вспоминал русскую зиму с теплым, светлым домом, пушистою шубой, быстрыми санями, здоровым телом и со всею любовью и заботою семьи. «И зачем я пошел сюда!» думал он.
На другой день французы не возобновляли нападения, и остаток Багратионова отряда присоединился к армии Кутузова.
Князь Василий не обдумывал своих планов. Он еще менее думал сделать людям зло для того, чтобы приобрести выгоду. Он был только светский человек, успевший в свете и сделавший привычку из этого успеха. У него постоянно, смотря по обстоятельствам, по сближениям с людьми, составлялись различные планы и соображения, в которых он сам не отдавал себе хорошенько отчета, но которые составляли весь интерес его жизни. Не один и не два таких плана и соображения бывало у него в ходу, а десятки, из которых одни только начинали представляться ему, другие достигались, третьи уничтожались. Он не говорил себе, например: «Этот человек теперь в силе, я должен приобрести его доверие и дружбу и через него устроить себе выдачу единовременного пособия», или он не говорил себе: «Вот Пьер богат, я должен заманить его жениться на дочери и занять нужные мне 40 тысяч»; но человек в силе встречался ему, и в ту же минуту инстинкт подсказывал ему, что этот человек может быть полезен, и князь Василий сближался с ним и при первой возможности, без приготовления, по инстинкту, льстил, делался фамильярен, говорил о том, о чем нужно было.
Пьер был у него под рукою в Москве, и князь Василий устроил для него назначение в камер юнкеры, что тогда равнялось чину статского советника, и настоял на том, чтобы молодой человек с ним вместе ехал в Петербург и остановился в его доме. Как будто рассеянно и вместе с тем с несомненной уверенностью, что так должно быть, князь Василий делал всё, что было нужно для того, чтобы женить Пьера на своей дочери. Ежели бы князь Василий обдумывал вперед свои планы, он не мог бы иметь такой естественности в обращении и такой простоты и фамильярности в сношении со всеми людьми, выше и ниже себя поставленными. Что то влекло его постоянно к людям сильнее или богаче его, и он одарен был редким искусством ловить именно ту минуту, когда надо и можно было пользоваться людьми.
Пьер, сделавшись неожиданно богачом и графом Безухим, после недавнего одиночества и беззаботности, почувствовал себя до такой степени окруженным, занятым, что ему только в постели удавалось остаться одному с самим собою. Ему нужно было подписывать бумаги, ведаться с присутственными местами, о значении которых он не имел ясного понятия, спрашивать о чем то главного управляющего, ехать в подмосковное имение и принимать множество лиц, которые прежде не хотели и знать о его существовании, а теперь были бы обижены и огорчены, ежели бы он не захотел их видеть. Все эти разнообразные лица – деловые, родственники, знакомые – все были одинаково хорошо, ласково расположены к молодому наследнику; все они, очевидно и несомненно, были убеждены в высоких достоинствах Пьера. Беспрестанно он слышал слова: «С вашей необыкновенной добротой» или «при вашем прекрасном сердце», или «вы сами так чисты, граф…» или «ежели бы он был так умен, как вы» и т. п., так что он искренно начинал верить своей необыкновенной доброте и своему необыкновенному уму, тем более, что и всегда, в глубине души, ему казалось, что он действительно очень добр и очень умен. Даже люди, прежде бывшие злыми и очевидно враждебными, делались с ним нежными и любящими. Столь сердитая старшая из княжен, с длинной талией, с приглаженными, как у куклы, волосами, после похорон пришла в комнату Пьера. Опуская глаза и беспрестанно вспыхивая, она сказала ему, что очень жалеет о бывших между ними недоразумениях и что теперь не чувствует себя вправе ничего просить, разве только позволения, после постигшего ее удара, остаться на несколько недель в доме, который она так любила и где столько принесла жертв. Она не могла удержаться и заплакала при этих словах. Растроганный тем, что эта статуеобразная княжна могла так измениться, Пьер взял ее за руку и просил извинения, сам не зная, за что. С этого дня княжна начала вязать полосатый шарф для Пьера и совершенно изменилась к нему.
– Сделай это для нее, mon cher; всё таки она много пострадала от покойника, – сказал ему князь Василий, давая подписать какую то бумагу в пользу княжны.
Князь Василий решил, что эту кость, вексель в 30 т., надо было всё таки бросить бедной княжне с тем, чтобы ей не могло притти в голову толковать об участии князя Василия в деле мозаикового портфеля. Пьер подписал вексель, и с тех пор княжна стала еще добрее. Младшие сестры стали также ласковы к нему, в особенности самая младшая, хорошенькая, с родинкой, часто смущала Пьера своими улыбками и смущением при виде его.
Пьеру так естественно казалось, что все его любят, так казалось бы неестественно, ежели бы кто нибудь не полюбил его, что он не мог не верить в искренность людей, окружавших его. Притом ему не было времени спрашивать себя об искренности или неискренности этих людей. Ему постоянно было некогда, он постоянно чувствовал себя в состоянии кроткого и веселого опьянения. Он чувствовал себя центром какого то важного общего движения; чувствовал, что от него что то постоянно ожидается; что, не сделай он того, он огорчит многих и лишит их ожидаемого, а сделай то то и то то, всё будет хорошо, – и он делал то, что требовали от него, но это что то хорошее всё оставалось впереди.
Более всех других в это первое время как делами Пьера, так и им самим овладел князь Василий. Со смерти графа Безухого он не выпускал из рук Пьера. Князь Василий имел вид человека, отягченного делами, усталого, измученного, но из сострадания не могущего, наконец, бросить на произвол судьбы и плутов этого беспомощного юношу, сына его друга, apres tout, [в конце концов,] и с таким огромным состоянием. В те несколько дней, которые он пробыл в Москве после смерти графа Безухого, он призывал к себе Пьера или сам приходил к нему и предписывал ему то, что нужно было делать, таким тоном усталости и уверенности, как будто он всякий раз приговаривал:
«Vous savez, que je suis accable d'affaires et que ce n'est que par pure charite, que je m'occupe de vous, et puis vous savez bien, que ce que je vous propose est la seule chose faisable». [Ты знаешь, я завален делами; но было бы безжалостно покинуть тебя так; разумеется, что я тебе говорю, есть единственно возможное.]
– Ну, мой друг, завтра мы едем, наконец, – сказал он ему однажды, закрывая глаза, перебирая пальцами его локоть и таким тоном, как будто то, что он говорил, было давным давно решено между ними и не могло быть решено иначе.
– Завтра мы едем, я тебе даю место в своей коляске. Я очень рад. Здесь у нас всё важное покончено. А мне уж давно бы надо. Вот я получил от канцлера. Я его просил о тебе, и ты зачислен в дипломатический корпус и сделан камер юнкером. Теперь дипломатическая дорога тебе открыта.
Несмотря на всю силу тона усталости и уверенности, с которой произнесены были эти слова, Пьер, так долго думавший о своей карьере, хотел было возражать. Но князь Василий перебил его тем воркующим, басистым тоном, который исключал возможность перебить его речь и который употреблялся им в случае необходимости крайнего убеждения.
– Mais, mon cher, [Но, мой милый,] я это сделал для себя, для своей совести, и меня благодарить нечего. Никогда никто не жаловался, что его слишком любили; а потом, ты свободен, хоть завтра брось. Вот ты всё сам в Петербурге увидишь. И тебе давно пора удалиться от этих ужасных воспоминаний. – Князь Василий вздохнул. – Так так, моя душа. А мой камердинер пускай в твоей коляске едет. Ах да, я было и забыл, – прибавил еще князь Василий, – ты знаешь, mon cher, что у нас были счеты с покойным, так с рязанского я получил и оставлю: тебе не нужно. Мы с тобою сочтемся.
То, что князь Василий называл с «рязанского», было несколько тысяч оброка, которые князь Василий оставил у себя.
В Петербурге, так же как и в Москве, атмосфера нежных, любящих людей окружила Пьера. Он не мог отказаться от места или, скорее, звания (потому что он ничего не делал), которое доставил ему князь Василий, а знакомств, зовов и общественных занятий было столько, что Пьер еще больше, чем в Москве, испытывал чувство отуманенности, торопливости и всё наступающего, но не совершающегося какого то блага.
Из прежнего его холостого общества многих не было в Петербурге. Гвардия ушла в поход. Долохов был разжалован, Анатоль находился в армии, в провинции, князь Андрей был за границей, и потому Пьеру не удавалось ни проводить ночей, как он прежде любил проводить их, ни отводить изредка душу в дружеской беседе с старшим уважаемым другом. Всё время его проходило на обедах, балах и преимущественно у князя Василия – в обществе толстой княгини, его жены, и красавицы Элен.
Анна Павловна Шерер, так же как и другие, выказала Пьеру перемену, происшедшую в общественном взгляде на него.
Прежде Пьер в присутствии Анны Павловны постоянно чувствовал, что то, что он говорит, неприлично, бестактно, не то, что нужно; что речи его, кажущиеся ему умными, пока он готовит их в своем воображении, делаются глупыми, как скоро он громко выговорит, и что, напротив, самые тупые речи Ипполита выходят умными и милыми. Теперь всё, что ни говорил он, всё выходило charmant [очаровательно]. Ежели даже Анна Павловна не говорила этого, то он видел, что ей хотелось это сказать, и она только, в уважение его скромности, воздерживалась от этого.
В начале зимы с 1805 на 1806 год Пьер получил от Анны Павловны обычную розовую записку с приглашением, в котором было прибавлено: «Vous trouverez chez moi la belle Helene, qu'on ne se lasse jamais de voir». [у меня будет прекрасная Элен, на которую никогда не устанешь любоваться.]
Читая это место, Пьер в первый раз почувствовал, что между ним и Элен образовалась какая то связь, признаваемая другими людьми, и эта мысль в одно и то же время и испугала его, как будто на него накладывалось обязательство, которое он не мог сдержать, и вместе понравилась ему, как забавное предположение.
Вечер Анны Павловны был такой же, как и первый, только новинкой, которою угощала Анна Павловна своих гостей, был теперь не Мортемар, а дипломат, приехавший из Берлина и привезший самые свежие подробности о пребывании государя Александра в Потсдаме и о том, как два высочайшие друга поклялись там в неразрывном союзе отстаивать правое дело против врага человеческого рода. Пьер был принят Анной Павловной с оттенком грусти, относившейся, очевидно, к свежей потере, постигшей молодого человека, к смерти графа Безухого (все постоянно считали долгом уверять Пьера, что он очень огорчен кончиною отца, которого он почти не знал), – и грусти точно такой же, как и та высочайшая грусть, которая выражалась при упоминаниях об августейшей императрице Марии Феодоровне. Пьер почувствовал себя польщенным этим. Анна Павловна с своим обычным искусством устроила кружки своей гостиной. Большой кружок, где были князь Василий и генералы, пользовался дипломатом. Другой кружок был у чайного столика. Пьер хотел присоединиться к первому, но Анна Павловна, находившаяся в раздраженном состоянии полководца на поле битвы, когда приходят тысячи новых блестящих мыслей, которые едва успеваешь приводить в исполнение, Анна Павловна, увидев Пьера, тронула его пальцем за рукав.
– Attendez, j'ai des vues sur vous pour ce soir. [У меня есть на вас виды в этот вечер.] Она взглянула на Элен и улыбнулась ей. – Ma bonne Helene, il faut, que vous soyez charitable pour ma рauvre tante, qui a une adoration pour vous. Allez lui tenir compagnie pour 10 minutes. [Моя милая Элен, надо, чтобы вы были сострадательны к моей бедной тетке, которая питает к вам обожание. Побудьте с ней минут 10.] А чтоб вам не очень скучно было, вот вам милый граф, который не откажется за вами следовать.
Красавица направилась к тетушке, но Пьера Анна Павловна еще удержала подле себя, показывая вид, как будто ей надо сделать еще последнее необходимое распоряжение.
– Не правда ли, она восхитительна? – сказала она Пьеру, указывая на отплывающую величавую красавицу. – Et quelle tenue! [И как держит себя!] Для такой молодой девушки и такой такт, такое мастерское уменье держать себя! Это происходит от сердца! Счастлив будет тот, чьей она будет! С нею самый несветский муж будет невольно занимать самое блестящее место в свете. Не правда ли? Я только хотела знать ваше мнение, – и Анна Павловна отпустила Пьера.
Пьер с искренностью отвечал Анне Павловне утвердительно на вопрос ее об искусстве Элен держать себя. Ежели он когда нибудь думал об Элен, то думал именно о ее красоте и о том не обыкновенном ее спокойном уменьи быть молчаливо достойною в свете.
Тетушка приняла в свой уголок двух молодых людей, но, казалось, желала скрыть свое обожание к Элен и желала более выразить страх перед Анной Павловной. Она взглядывала на племянницу, как бы спрашивая, что ей делать с этими людьми. Отходя от них, Анна Павловна опять тронула пальчиком рукав Пьера и проговорила:
– J'espere, que vous ne direz plus qu'on s'ennuie chez moi, [Надеюсь, вы не скажете другой раз, что у меня скучают,] – и взглянула на Элен.
Элен улыбнулась с таким видом, который говорил, что она не допускала возможности, чтобы кто либо мог видеть ее и не быть восхищенным. Тетушка прокашлялась, проглотила слюни и по французски сказала, что она очень рада видеть Элен; потом обратилась к Пьеру с тем же приветствием и с той же миной. В середине скучливого и спотыкающегося разговора Элен оглянулась на Пьера и улыбнулась ему той улыбкой, ясной, красивой, которой она улыбалась всем. Пьер так привык к этой улыбке, так мало она выражала для него, что он не обратил на нее никакого внимания. Тетушка говорила в это время о коллекции табакерок, которая была у покойного отца Пьера, графа Безухого, и показала свою табакерку. Княжна Элен попросила посмотреть портрет мужа тетушки, который был сделан на этой табакерке.