Чтобы защититься от снифферов достаточно перейти на HTTPS.
Чтобы ограничить неофициальные клиенты запрос можно подписать. Обычно каким-то образом однозначно сериализуют запрос, хешируют его на клиенте заранее известной солью и передают этот хеш в запросе. Серверу эта соль также известна и он повторяет эти действия, после чего сравнивает полученный с отправленным клиентом.
Но это всё ерунда: при наличии желания и физического доступа к джейлбрейкнотому айфону алгоритм формирования подписи можно выковырять из приложения за разумное время.
