Нет способа обеспечить это полностью. Лучшее, что вы можете сделать, это несколько скрыть его (возможно, зашифрованный файл, который вы расшифровываете в приложении), а затем отслеживать сервер на предмет того, что выглядит как трафик не из приложения.
Если вы хотите скрытно зашифровать данные аутентификации, а затем использовать какую-то стенографию - вставьте учетные данные в изображение или даже в виде необработанных данных в файл, похожий на что-то другое (например, ключ SSH).
Но взломанный разработчик всегда сможет подключиться к вашему приложению, чтобы увидеть результаты его анализа, или, возможно, запустить SSH-прокси, чтобы просто отслеживать все, что вы отправляете.