No importa si estás en un WiFi encriptado, en un WiFi no encriptado, en un 3G, etc., si el título del sitio tiene un candado al lado, puedes estar seguro de que tu contraseña no puede ser capturada por nadie que espíe el tráfico. El candado significa que tú y el sitio web estáis utilizando una conexión segura y encriptada.
Sin embargo, ten en cuenta que si después de iniciar sesión en el sitio y el bloqueo ya no aparece, eres vulnerable a cualquier persona que ejecute una copia de Firefox con Firesheep instalado. No obtendrán tu contraseña, pero esencialmente podrán iniciar sesión como tú.
En el caso de los sitios que no mantienen una conexión segura (un candado en la barra de título) después de iniciar la sesión, debes evitar utilizarlos con una WiFi no cifrada. Que yo sepa, Gmail utiliza una conexión segura todo el tiempo.
Cuando introduces tu contraseña para las compras en el App Store, aunque no haya ninguna indicación real, tu teléfono está estableciendo una conexión segura entre él y Apple. Es muy seguro.