É sobre segurança. Se uma informação fica mais tempo que o necessário na memória tem mais chance da aplicação ser comprometida e alguém com acesso à máquina possa pegar a senha.
Strings são imutáveis, você não pode escrever sobre ela, se quiser mudar o conteúdo de uma string, tem que criar outra string nova e descartar esta antiga. O problema é que o descarte de fato só ocorrerá quando o garbage collector entrar em ação, e pode levar muito tempo.
Um char[]
é mutável, então em qualquer momento você pode zerar o conteúdo dele. Mesmo que não seja coletado na hora, ao ter os valores zerados a senha não fica exposta mais tempo que o necessário (ou seja, uma ínfima fração de segundo).
Coloquei no GitHub para referência futura.