Как лучше хранить ключ шифрования?
У меня для Вас плохая новость - строго говоря, никак, если без дополнительных аппаратных средств. И потом - что Вам даст зашифрованная БД, если её когда-то надо будет расшифровывать для работы сайта?
Если очень хочется - сделай отдельный сервак с ключом шифрования, предоставляющий соответствующий сетевой интерфейс для шифрования/дешифрования информации
Тогда для шифрования/дешифрования придется гонять инфу через него, не используя ключ шифрования явно и не имея к нему доступа. Судя по формулировке вопроса, этого будет достаточно