No Ubuntu, parece que o melhor lugar para uma chave privada usada para assinar um certificado (para uso pelo nginx) é em/etc/ssl/private/
Esta resposta acrescenta que o certificado deve entrar, /etc/ssl/certs/mas parece um local inseguro. Os .crtarquivos precisam ser mantidos em segurança ou são considerados públicos?