Не обязательно - серверная часть может хранить зашифрованные пароли и расшифровывать их с помощью некоторого заранее заданного ключа при их получении.
Однако это все еще довольно слабое решение с точки зрения безопасности.Надлежащим подходом было бы просто сохранить зашифрованный / хешированный (и соленый!) Пароль и иметь возможность проверить, соответствует ли заданный ввод ему, без возможности получения пароля в виде открытого текста.