1) Ну сертификат можно же самому подписать ) Вызывает некоторые неудобства (особенно когда выкладываете игру на FB и пользователь заходит по https), но на первое время в принципе пойдет. А если дела в гору пойдут - тогда можно будет и нормальный сертификат купить.
Авторизацию сделать-то можно, поиск даже JS-библиотеку какую-то дал. Вот только...
А как вы будете этот ключ клиенту передавать? По http? Ну так никто не мешает вклиниться между клиентом и сервером и отдать клиенту свои ключи. А потом проксировать запросы на оригинальный сервер с перешифрованием своим ключом (т.е. ключом злоумышленника). Одно это уже убивает всю защиту.
И как реализовывать собираетесь? Логин и пароль шифровать отдельно? Ну тогда это ничем от сложных логинов/паролей отличаться не будет. Значит надо будет каким-либо образом объединять логин/пароль в одну строку и шифровать уже результат.
Но здесь тоже проблема: есть же некоторый словарь логинов и паролей, для этих словарей можно будет на основе перехваченного ключа (если вести пассивное наблюдение за клиентом, т.е. не отдавать ему свои ключи, а просто слушать траффик) сгенерировать шифротексты и проверять отправленный логин/пароль на наличие в этом списке. Будет накладно, конечно, но желающие всегда найдутся, хотя бы ради развлечения.
Если же отбросить сомнения и решиться делать, то, возможно, стоит учесть, что 1К-ключи уже не считаются надежными. Мозила даже с начала года реджектит сертификаты с такими ключами.
2) Никто не мешает. Google Play при создании программ даже советует (по крайней мере раньше советовал, сейчас у них способ оплаты вроде поменялся) свой ключ (т.е. один ключ, а не два, второй у них хранится) разбить на несколько частей и разбросать по разным местам, чтобы труднее было ключ выцепить.
Возможно, стоит не вшивать ключи, а генерировать их при установке? Хотя, куда бы вы ключи не засунули - админ всегда сможет посмотреть их.
И может стоит хранить в программе не логин/пароль, а, например, md5 от логина/пароля - т.е. вводится текст, к нему применяется md5 и сранивается с сохраненными данными?