Ну, если ключ хранится в программе - то его легко узнать. Лучший вариант - случайный ключ при каждой сессии, с передачей при помощи асимметричного шифрования (закрытый ключ - на сервере, в программе - только открытый ключ).