то есть api_secret в клиентском приложении не хранить а хранить это значение у себя на серваке?

Добавлено через 1 минуту
как мне тогда вычислять у себя на серваке
auth_key = md5(api_id + '_' + viewer_id + '_' + api_secret)

api_id и viewer_id получается нужна передавать с клиентского приложения в любом случае?

api_id передавать? хм... он же один на всю жизнь приложения 0о
viewer_id — да! это секретное скопище цифр доступное каждому надо таки передать
auth_key — да. эта непонятно как собранная абракадабра тоже нужна. ее собрал сервак контакта (к нему не добраться?) и она будет проверена на твоем серваке (тоже походу за кулисами).
итого имеем:
- подделать нельзя (надо знать "Защищенный ключ")
- никакими личными данными не светим
- идентификация однозначная

если еще что-то спросишь — заподозрим неладное и предложим заняться чем-то отличным от программирования ;)

viewer_id достаточно передать. api_id и так серверу известен.
И ещё не путайте ключ приложения и защищенный ключ. Это разные ключи, так вот второй вам в клиенте держать ни в коем случае нельзя.