manejo de sesiones en java

lo había pensado así, generando un ID aleatorio al hacer login (desde el servidor), devolviendolo SOLO en ese momento de hacer login, y guardarlo en el cliente. El único problema que veo es que los servicios web usando REST reciben los parámetros usando el protocolo HTTP, por lo tanto sería relativamente fácil leer esa transmision. Tocará investigar si hay opción de esconder las cosas usando REST, o optar por SOAP con ficheros xml y tal...

gracias de todos modos por el consejo, un saludo!

#4 cierto, HTTPS lo descarto, pero debe ser HTTP para evitar problemas de firewalls y similares. Había pensado en hacer transmisión de ficheros XML por HTTP (cifrando los ficheros) pero lo veo mucho engorro en el cliente android, ya que tendría una dependencia muy grande, además de la transmisión más pesada de ficheros...!

#6 si, pero al cifrar el archivo (el contenido) por mucho que lo consigan no podrían 'entenderlo' sin utilizar el cliente. De momento me parece la solución más viable pero más engorrosa, la otra opción es como dije antes, utilizar ID's aleatorios generados desde el cliente al loguear (tal como había pensado, y tal como dijo LOc0)

#8 seguiré dandole vueltas entonces, gracias. La verdad, el HTTPs lo podría utilizar, ya que me da bastante igual que la dirección sea muy larga, ya que se utilizará solo como servicio web, y el cliente en ningun momento verá el URL

#10 me viene genial, ya que se trata de una aplicación que de momento será versión alpha, para presentarla a una empresa, y ya si le gusta lo que ve se mejora todo en general (principalmente seguridad). De momento los gastos, además de tiempo, solo son de un servidor hospedado en ovh. Lo hablaré con mi compañero, ya que por invertir esos 5$ y pegarnos el curro ahora podemos ganar mucho para un futuro cambio. Gracias de nuevo por el interés de todos, y si alguno necesita ayuda en el tema de servicios web (o cualquier otro tema) que no dude en enviar mensaje, ya que no soy muy asiduo a leer el foro!