Clickjacking: ¿no pueden los navegadores simplemente prohibir / rechazar la colocación de elementos transparentes sobre los marcos?

Prohibir la opacidad en los elementos que contienen un iframe tendría un impacto negativo en las interfaces de usuario (por ejemplo, no hay efectos de atenuación cuando los iframes están en juego), pero no bloquearía los ataques de clickjacking.

Incluso si los iframes transparentes fueran imposibles, aún podría lograr los mismos ataques utilizando un iframe de 1x1 píxeles que siguió al puntero. El posicionamiento dentro de ese píxel se puede lograr desplazando un iframe anidado doblemente. La posible diferencia de un píxel debajo del puntero en reposo casi seguramente no será detectable por el usuario.

Entonces, sí, un navegador podría bloquearlo y estar temporalmente protegido contra una forma común de ataque. Pero tan pronto como un número significativo de usuarios tenga navegadores que hagan eso, el atacante simplemente cambiará la técnica de implementación. Este es un ejemplo de un 'arreglo' que solo funciona al hacer que otra persona sea la fruta de bajo rendimiento; Una vez que todos comienzan a hacerlo, ya no hay solución. Por consiguiente, tiene sentido implementar para una extensión de navegador que no utilizan muchas personas, pero no tiene sentido para un navegador popular.

Algunos complementos harán esto, o le avisarán cuando esté ocurriendo. Consulte NoScript .

Para tu información, hay otras formas de hacer clickjacking sin transparencia iframe, por lo que no sería de ayuda de todos modos.

• colocar un elemento no transparente encima de un iframe y configurar algo de CSS para que sea transparente solo para los eventos del mouse
• cambie el estilo del cursor a algo que no sea muy visible y coloque un mouse falso que se mostrará a 200px a la izquierda del real

La única forma de evitar el clickjacking es alterar la gui (¿posicionamiento aleatorio del botón COMPRAR?) o crear secuencias de confirmación para acciones críticas (por ejemplo, obligar a las personas a usar el teclado)     

Incluso si los navegadores no permiten la superposición de elementos (sobre iframes) y descubren cómo lidiar (cuando se niega) con opacidad. Todavía hay técnicas de clickjacking que pueden solucionar estas reglas, por ejemplo, iframe redimensionado a 1 × 1 píxel y luego el atacante agrega tantos iframes como necesite para dibujar gráficos personalizados utilizando esos iframes.