O alvo SSLstrip não é o servidor, mas a sessão entre o usuário e o salto seqüestrado. Ele ataca as inabilidades dos usuários para discernir entre uma sessão real de SSL e uma aparência real. A melhor atenuação, portanto, é garantir que os usuários saibam como é uma conexão SSL adequada ao seu site: https: //, não confie no "cadeado" do favicon, etc.
Infelizmente, como o problema está em grande parte no lado do cliente, não há muito o que fazer do lado do servidor para corrigir a ingenuidade dos usuários. Você pode colocar algumas notas em sua própria página de login / CC, orientando os usuários a verificar se há uma conexão SSL adequada, mas quem pode dizer que isso não será eliminado por um invasor?Uma opção é usar algo como o NoScript (ou o HSTS como o agl mencionado).
Eu gosto de definir browser.identity.ssl_domain_display para 2 no Firefox para tornar as páginas SSL mais óbvias e definir network.IDN_show_punycode como true para evitar ataques de homógrafos.
Mais uma vez, estas são coisas que têm de ser feitas no lado do cliente e não garantidas pelos seus utilizadores! Suponha que pelo menos alguns de seus usuários não se importem e cliquem em qualquer coisa.