В каком типе данных хранил бы пароли в приложении

Для хранения паролей следует использовать char[] вместо String. Причины:

1. String неизменяем и остается в пуле строк, что делает его уязвимым для атак (например, дампа памяти).
2. char[] можно явно очистить из памяти после использования, перезаписав массив.

Пример:

char[] password = passwordField.getPassword();
// Использование пароля...
Arrays.fill(password, '\0'); // Очистка

Дополнительно:

• Хранить только хеш пароля (например, bcrypt/PBKDF2)
• Никогда не логировать пароли
• Использовать secure-рандом для соли