Quizas ?! estare pensando que utilizar Thread es incorrecto pero a lo mejor puede ser lo correcto porque las comunicaciones siempre se debe realizar en multiprocesos ya que en todo momento se debe verificar los datos recibidos
los dueños de firebase son Google son una empresa seria y la seguridad la respalda por los ingenieros de google de verdad no tienes que preocuparte mucho y si es seguro guardar el archivo JSON porque sino me equivoco no son credenciales sino son tokens para que accedas
la verdad que firebase se conecta mediante https cuando manda la conexion la conexion es cifrada todos los datos se cifran tus usuarios no mandan realemente las claves al servidor o contraseñas lo que mandan realmente el valor hash que tiene tu clave