提到 Onavo，很多老用户可能还有印象。这是一款来自以色列的手机网络工具，主要功能是流量压缩和数据统计，后来因为它背后的数据收集模式而引发了科技圈一场不小的风波，最终被苹果从 App Store 彻底下架。今天我们就用大白话把这件事讲清楚。
onavo 是一款什么应用
onavo 成立于 2010 年，最早的主打产品叫 onavo Extend 和 onavo Count，简单说就是帮你省流量、看流量都花在哪了。在当年手机流量还很贵的年代，这类工具确实挺受欢迎。它的实现原理是虚拟专用网络，也就是我们常说的 VPN：用户的网络数据会先经过 onavo 的服务器，再转发到目的地。
问题就出在这里。所有的网络流量都从它的服务器过一遍，意味着它能看到你手机上几乎所有的网络活动，包括你用了哪些应用、看了什么内容、访问了哪些网站。用户以为装了个省流量的工具，实际上自己的上网习惯被完整记录了下来。
Facebook 收购 onavo 的目的
2013 年，Facebook 以大约 1.2 亿美元的价格收购了 Onavo。表面上看，Facebook 是买了个流量管理工具，但实际上看中的是它的数据收集能力。通过 Onavo，Facebook 可以知道用户手机里装了什么应用、每天用多久、哪些应用增长势头猛。
对这些数据最直接的用法，就是监测竞争对手。据多家媒体报道，Facebook 曾利用 onavo 的数据来分析哪些新应用正在崛起，然后决定是收购还是模仿。WhatsApp 收购前的用户增长分析、一些社交产品的早期动向，都传出过通过 onavo 数据提前掌握的说法。
苹果为什么把它下架
2018 年年中，事情出现了转折。苹果更新了 App Store 的隐私政策，明确禁止应用在用户不知情的情况下收集无关的个人数据。onavo Protect 这款 VPN 应用的数据收集行为，明显超出了它宣称的功能范围，涉嫌违反了 App Store 的开发条款。
2018 年 8 月，苹果正式要求 Facebook 下架 onavo Protect，Facebook 照做了，几天后 onavo 系列应用陆续从 App Store 消失。同年 6 月，Facebook 还在 onavo 里加入了向公司服务器回传应用使用行为分析的功能，这进一步坐实了数据过度收集的问题。
Facebook Research 事件火上浇油
onavo 被下架后，Facebook 又搞出了新的操作。它利用苹果的企业开发者证书，绕过 App Store 的审核，直接向用户分发一个叫 Facebook Research 的应用。这个应用让用户安装根证书，允许 Facebook 收集手机上几乎所有的网络数据，参与的用户还能拿到每月 20 美元的报酬。
2019 年 1 月，这件事被媒体曝光。苹果认为 Facebook 滥用企业证书权限，直接吊销了 Facebook 的企业开发者证书。这个后果相当严重，Facebook 公司内部所有用企业证书分发的 iOS 应用全部无法运行，内部员工用的测试版应用也瘫痪了。直到 Facebook 做出整改承诺，苹果才恢复了证书。
这件事带来的影响和启示
onavo 事件之后，Facebook 于 2019 年正式关闭了 onavo 服务。对 Facebook 来说，损失的不只是一两款应用，而是它在 iOS 平台上一条重要的数据情报来源，也让苹果对 Facebook 的信任降到了冰点，为后来双方在隐私问题上的多次交锋埋下了伏笔。
对普通用户来说，这件事最有价值的地方在于提醒我们：免费的网络工具往往不是真的免费。一个 VPN 应用如果背后的公司靠数据业务赚钱，那你的流量数据很可能就是它的收入来源。装任何网络类应用之前，最好想清楚它到底需要什么权限，能不能看到你的数据，以及它收集这些数据是为了什么。
如今苹果在 App Store 里强制要求应用标注隐私收集情况，要求 VPN 应用明确说明用途，这些规定多少都和当年 onavo 这类事件有关。数据隐私这个话题，从那时起才算真正走进了大众视野。