¿Cómo saber si puedo confiar en una aplicación para mantener mi contraseña?

Debes confiar en el desarrollador de la aplicación. Período.

Además del análisis de código, no hay forma de eliminar la posibilidad de que una aplicación envíe su contraseña a algún lugar.

E incluso herramientas como Little Snitch no te ayudarán si la aplicación puede enviar correos electrónicos desde tu cuenta. Si envía un correo electrónico a alguien, solo usará la conexión establecida para enviar otro correo electrónico con su contraseña. Como la conexión está encriptada, no puedes ver lo que hace la aplicación. Y como todo el propósito de la aplicación es enviar correos electrónicos, la conexión no es sospechosa en absoluto. Lo mismo sucede con todas las aplicaciones que necesitan acceso a Internet. Si ingresa la contraseña de una aplicación de Facebook, podría usar Facebook para enviar un mensaje privado con su contraseña, etc.

Para hacer que sea aún más difícil de detectar, el desarrollador podría implementarlo de manera que la rutina maliciosa espere 30 días antes de enviar su contraseña. Y si el desarrollador es un delincuente inteligente (él escribió una gran aplicación, por lo que probablemente lo sea), puede detectar a los evaluadores que también adelantan la configuración de la fecha del dispositivo. Si el desarrollador es inteligente, es casi imposible resolver tales cosas sin mirar el código.

Ingresar su contraseña en algún lugar tiene que ver con la confianza.
Y con todas esas aplicaciones de desarrolladores desconocidos, es difícil averiguar en qué aplicación puedes confiar lo suficiente como para darle tu contraseña.
Esa es la razón por la que Twitter, entre otros, utiliza un proceso de autenticación en el que la aplicación nunca conoce su contraseña.

Tener una contraseña diferente para diferentes servicios ayuda en caso de que haya confiado accidentalmente en un desarrollador no confiable.
Pero su contraseña de correo electrónico es un poco especial porque generalmente puede usarse para obtener acceso a casi todos los servicios que utiliza.

Haría lo siguiente: usar la autenticación de dos pasos en Google, crear una contraseña específicamente para la aplicación y luego desde esta página puede verificar la última vez que se usó cierta contraseña. Si siempre corresponde a su último uso de gTask, entonces debería estar seguro.

Si ese no es el caso, puedes revocar la contraseña desde allí.

Nota: con este método, el desarrollador podría leer su correo de todos modos, así que mejor que esté seguro que lo siento. Sin embargo, puedes crear una cuenta ficticia y ver si se piratea.

Algo así como Little Snitch te ayudará a determinar si la aplicación crea una conexión de salida además de la conexión obvia a los servidores de Google.

Todavía es posible que la aplicación simplemente envíe sus datos a la cuenta de Google del desarrollador aproximado, pero no tengo idea de cómo verificar eso.

Si no está seguro acerca de una aplicación, busque revisiones de google o al menos un sitio web. Si mucha gente se queja, sabrá que no debe descargar la aplicación.

En general, no puedes confiarle a nadie tus datos y es mejor que los guardes todo lo posible para ti. Si tiene que dar sus datos, asegúrese de usar una contraseña diferente cada vez. Será difícil recordar todas sus contraseñas, pero también mantiene seguras sus cuentas, como su correo electrónico o Facebook.