SecretHolder: add BDB wrapper