mi permetto di dirti la mia per quella che è la mia esperienza!

il mio consiglio è quello di memorizzare il file su disco e memorizzare il percorso nel db come string.

2° il limite di upload che hai nel timeout è lo stesso sia se memorizzi su disco che in db perchè indica il tempo che il client deve metterci a trasmettere i dati ed elaborarli e non al limite di dimensioni!

per quello che so io il limite di dimensioni è modificabile nel web.config e non mi pare che aruba metta limiti a ciò!

per quanto riguarda la protezione non so che dirti per la differenza tra le due tecniche!