Respondendo de maneira clara e rápida: **o password deve ser encriptado na aplicação.**

# Por que?

Quando a aplicação envia os dados para o servidor, nada impede que esses dados não sejam lidos ou interceptados no meio do caminho, como por exemplo, um ataque  [Man in the middle][1]. Quando esses dados transitam pela rede em *plain text* qualquer pessoa pode lê-la sem muitas dificuldades.

# Mas e se a comunicação for feita usando [https][2]?
Com o uso do https entre serviços, é garantido a criptografia das mensagens trocadas entre os pontos, desde que os certificados e protocolos envolvidos estejam atualizados e operantes. 

Por fim, o ideal seria a troca de mensagens usando criptografia end-to-end, como bem citou o @Maniero [em sua resposta][3]. Porém, devido ao alto custo e complexidade, se torna um pouco difícil de aplicar. Então, para o seu cenário, uma solução próxima do ideal seria: as informações partiriam do app já criptografadas diretamente para o seu servidor que usa o https.


  [1]: https://pt.stackoverflow.com/questions/7051/conceito-de-ataque-man-in-the-middle
  [2]: https://pt.wikipedia.org/wiki/Hyper_Text_Transfer_Protocol_Secure
  [3]: https://pt.stackoverflow.com/a/231857/26520