Clickjacking

Jeg har lige set New Ways I'm Going to Hack Your Web App og jeg synes ikke om de forslag de har til hvordan man beskytter imod clickjacking. Og jeg så også på Wikipedia artiklen om clickjacking og fandt heller ikke der nogen bedre forslag.

I videoen går alle deres forslag ud på at forhindre brug af iframes. Men hvis jeg bruger en webapplikation der som en feature kan vise vilkårlige websider i en iframe, så udgør det et DoS angreb imod den webapplikation. Så alle deres "løsninger" vil som en bieffekt ødelægge andre webapplikationer.

Derudover gør deres anbefalede løsning brug af javascript. Men der findes websites som ikke bruger javascript, og den slags sites skal også kunne beskyttes imod clickjacking.

Jeg tænker at der må da findes en god løsning som ikke i sig selv introducerer massevis af nye problemer. Er her nogen som har et bud på nogle best practices som forhindrer clickjacking uden brug af javascript og som stadig tillader iframes?