Almacenamiento de claves API en Android, ¿es obfustificación suficiente?

No puedes evitarlo. Si el usuario (atacante) tiene los datos protegidos y el código que hace la desprotección, el usuario puede eventualmente tener acceso a los datos. Es tan simple como eso. Un depurador y un punto de interrupción en el momento justo es todo lo que necesitan. Eso, y mucho tiempo libre y determinación.

Si o no secreto es lo suficientemente bueno para sus propósitos es hasta sus detalles de negocios. Pero generalmente en el mundo móvil, si el cliente está preocupado por sus datos robados, implementan controles de alto nivel de robo y pérdida. Cosas como la limpieza remota, bloqueo de pantalla obligatorio, etc No creo que sea hasta el programador de aplicaciones para duplicar todo eso.

La seguridad nunca puede ser perfecta, así que depende de usted decidir cuánto trabajo desea hacer. Usted puede romper el secreto del consumidor en varias cadenas para un cambio simple que ofrece una cantidad mínima de seguridad adicional o puede crear un algoritmo para representar el secreto de otra manera (cualquier cosa de la inserción de caracteres que no se utilizan cada X espacios en la cadena A la modificación de cada carácter, tal vez basado en la representación numérica).

Tienes que considerar el trabajo vs. beneficio. Si se trata de una aplicación que usted y algunos amigos van a utilizar, entonces probablemente no importa mucho. Si esto va a ser una aplicación utilizada por 10 millones de personas, la seguridad es obviamente más una preocupación.