Да, вы не можете использовать *
таким образом.
Вот как это сделать.Обратите внимание, что даже SELECT является необязательным
Query q = em
.createQuery("FROM " + User.class.getName() + " WHERE username = :username AND password = MD5(:password)")
.setParameter("username", txtLogin.getText())
.setParameter("password", passPassword.getPassword())
;
User user = (User) q.getSingleResult();
С помощью SELECT вы можете сделать так:
Query q = em
.createQuery("SELECT us FROM " + User.class.getName() + "us WHERE username = :username AND password = MD5(:password)")
.setParameter("username", txtLogin.getText())
.setParameter("password", passPassword.getPassword())
;