Сесийните файлове, в които се намират стойностите от сесийния масив се съхраняват на сървъра в нарочна директория (обикновено намираща се в ТМП-директорията). За всеки потребител се създава отделен файл и се изтрива на определено време като цялото управление на процеса е автоматизирано.
Не се сещам как могат да манипулират стойностите в сесийния масив без по някакъв начин да манипулират скриптовете ти или да включат външен код в твоя.
session_regenerate_id(); ще промени сесийния идентификатор - това е низовата стойност в сесийното куки, което се записва на потребителската машина.
При всяка заявка към сървъра браузъра изпраща и стойността на сесийното куки и по нея сървъра разбира кой точно файл (съдържащ данните за съответната сесия) е създаден за дадения потребител.
Честото използване на session_regenerate_id(); не е препоръчително, но при определени обстоятелства (когато правиш някакви важни промени в сесийния масив за дадения потребител) не само можеш, но е и желателно да рестартираш сесията, за да се подсигуриш срещу възможни грешки.
Животът на сесийното куки обикновено е 0 - т.е. докато браузъра е отворен на дадения адрес.
Виж в наръчника на РНР за повече информация - раздел сесии е преведен на български от доста време:
http://bg2.php.net/manual/bg/book.session.php
