Да, может. Сохраняйте всю безопасность, связанную с фасадом вашего сервера, где он принадлежит и где он в основном не имеет никакого отношения к самому GWT. На стороне клиента вам нужно только получить имя пользователя и пароль от пользователя, чтобы отправить их на сервер.