什么也不做，只要等到证书过期。这只适用于短暂的证书（如证书有效期是7天）。这样做容易让你受到攻击，你也可能会有其他缓解风险的方法。问题是，每7天就得重启MySQL，而且还需要一些自动分配证书的机制。
重新创建所有证书和密钥(包括 CA)。这只适用于CA、服务器和用户数量较少的情况。
用CRL（Certificate Revocation list证书吊销列表）。 这样做只在你的证书有正确序列号的情况下管用。此外，你要是有多个CA的话，就必须每个CA都捆绑CRL，并在c_rehash创建的符号连接的目录中指定ssl-crl，指定ssl-crl路径(仅OpenSSL)。如果使用CRL，那MySQL 的版本要是5.6或更高，然后更新CRL，也更新所有客户端。
注意: 如果密钥泄露了，就必须重新创建私有密钥，仅用以前的CSR（证书签名请求）是不够的。
客户端配置注意事项
ssl-ca 参数可在my.cnf的[client]部分设置，但这样设置mysql binlog就不管用了，所以在客户端用loose-ssl-ca 代替。ssl-key 和 ssl-cert 参数应该是在~/.my.cnf文件的[client]部分，这些文件都应该适当的保护起来。
目前以my_config_editor创建的'login-path'无法添加到SSL设置。
密码注意事项
用 SSL 加密，可以设置一定的密码，用 YaSSL 就很有限。当使用 OpenSSL 时，就可以使用一个密码套件，这套件是一组特定的密码集、一些过滤器和一个规则。
YaSSL, OpenSSL 的状态变量注意事项
如果很难判断你的MySQL用的是 OpenSSL 还是 YaSSL， 有些方法可以帮你，如使用命令ldd /path/to/mysqld。默认情况下 MySQL Community Edition 用的是 YaSSL ， MySQL Enterprise Edition 用的是 OpenSSL。
根据SSL执行情况，某些状态变量可能更新的不正确。
为确保不受任何SSL漏洞影响，你最好参照 Oracle 关键补丁更新，保持你的 MySQL 和 OpenSSL及时更新。
运行 CA的注意事项
其实并没有看起来那么容易，往往开始很简单，往后很无奈。要十分肯定的知道怎么发布CRL，X509 扩展是什么，你都必须用什么。
有个网站告诉你如何配置你自己的CA：如何做一个自有的证书颁发机构（CA） - jamielinux
也有许多公共CA会给你私有的 CA 提供主机。
SSL/TLS书籍推荐
笔者推荐一本关于SSL的书：Bulletproof SSL and TLS 《SSL和TLS的防弹衣》
还有一本关于密码学历史的书，非常有趣：The Code Book
译者高中时候读过这本书的中文版《密码故事》，确实不错。
