Respondendo de maneira clara e rápida: o password deve ser encriptado na aplicação.
#Por que?
Por que?
Quando a aplicação envia os dados para o servidor, nada impede que esses dados não sejam lidos ou interceptados no meio do caminho, como por exemplo, um ataque Man in the middle. Quando esses dados transitam pela rede em plain text qualquer pessoa pode lê-la sem muitas dificuldades.
Mas e se a comunicação for feita usando https?
#Mas e se a comunicação for feita usando https? ComCom o uso do https entre serviços, é garantido a criptografia das mensagens trocadas entre os pontos, desde que os certificados e protocolos envolvidos estejam atualizados e operantes.
Por fim, o ideal seria a troca de mensagens usando criptografia end-to-end, como bem citou o @Maniero em sua resposta. Porém, devido ao alto custo e complexidade, se torna um pouco difícil de aplicar. Então, para o seu cenário, uma solução próxima do ideal seria: as informações partiriam do app já criptografadas diretamente para o seu servidor que usa o https.