È necessario memorizzare la chiave segreta in forma crittografata nel DB in modo che anche se il DB viene compromesso, la chiave è in forma crittografata e non è di alcuna utilità per l'utente malintenzionato a meno che non venga decifrata. Inoltre, è necessario disporre di un meccanismo che consente di decodificare la chiave al volo ogni volta che è necessario utilizzarla.
Aggiunto
Il DB memorizza i dati e la logica / codice dell'applicazione è separata dalla memoria DB. La tua chiave segreta verrà archiviata nel DB ma utilizzata nella logica / codice dell'applicazione. Non dovrebbe essere codificato nella logica dell'applicazione, altrimenti non sarà possibile cambiarlo in seguito, quindi è necessario memorizzarlo in DB. Tuttavia, DB può essere compromesso, quindi è necessario archiviarlo in modo sicuro. Per proteggere la chiave è necessario archiviarla in forma crittografata e decodificarla al volo. Ma per applicare questa sicurezza (crittografia / decrittografia) è necessaria un'altra chiave (o coppia di chiavi) che deve anche essere protetta. Un metodo per proteggere quella chiave è che, invece di utilizzare una chiave fissa ben definita, è possibile prendere in considerazione alcuni parametri, ad esempio la data di nascita dell'utente o i dati di creazione dell'account dell'utente (qualsiasi parametro il cui valore può variare per ciascun utente, ma può rimanere atleast costante per qualche tempo per un utente particolare). Prendi il valore di quel parametro specifico, applica una funzione di trasformazione e usa il valore risultante di quella trasformazione come chiave (puoi usarlo direttamente come chiave segreta o la chiave necessaria per la crittografia / decrittografia della chiave segreta). La tua funzione di trasformazione è la parte della logica dell'applicazione e quel parametro è memorizzato in db. Nel caso in cui il tuo db venga compromesso, la funzione di trasformazione non sarà ancora esposta. Nel caso in cui la logica / codice dell'applicazione venga analizzata, il parametro di base per la generazione della chiave non sarà disponibile. In questo modo, sarai in grado di proteggere il tuo sistema a meno che l'hacker non abbia accesso sia al db (per il parametro di generazione della chiave) che alla tua logica / codice dell'applicazione (per la funzione di trasformazione) per ottenere le conoscenze necessarie per la crittografia / decrittografia del tuo chiave segreta.
Spero che spieghi la tua domanda.