O melhor é ter a configuração básica no app.config
(eventualmente web.config
) e não colocar senhas nela.
Mas se o fizer, que faça usando criptografia. Colocar senhas expostas, especialmente, é uma temeridade. É melhor usar autenticação integrada com o sistema operacional ou autenticação feita com usuário e senha solicitado na aplicação e não disponível em qualquer lugar dela.
É claro que algumas situações pode pedir uma solução diferente.
Feito isso será seguro até onde pode ser seguro. A performance não é relevante para isso, se não fizer nenhuma maluquice, mas nem os piores programadores costumam fazer maluquices com isso.