Так как строки в Java являются неизменными, то ваш пароль в виде обычного текста будет доступен в памяти, пока сборщик мусора не очистит её. Любое изменение приведет к созданию новой строки. А вот в случае с char[], вы можете заменить любой его элемент нулем или пустым символом.