Il modo migliore è creare un hash della password, in pratica una stringa che può essere creata solo in un verso. Dalla password in chiaro puoi creare questa stringa, ma fare la cosa al contrario è impossibile. Io di solito uso MD5, anche se da quello che ho letto non è il più sicuro degli algoritmi. Per prima cosa memorizza le password nel file utenti già in md5 (ci sono calcolatori online o su mac il comando md5 del terminale). Dopodiché ti basta aggiungere una funzione nella parte della comparazione. Sostituisci il ciclo foreach con questo:
Codice PHP:

foreach($utenti as $user_ => $password_){
if (($user==$user_) AND (md5($password)==$password_))return true;} 
Per il logout ti basta distruggere le sessioni. Metti nella pagina "riservata" un link a una pagina logout.php e in quella pagina metti il seguente codice:
Codice PHP:

<?
session_start();
session_unset();
session_destroy();

header("location:index.php");
exit();
?>
(ovviamente al posto di index metti la pagina che contiene il form di login.