Ceргей
Сам механизм не знаю, так как дизассемблер равно как и ассемблер не знаю. А чтобы знать досканально, как это работает надо знать ядро PHP.
Но проводил эксперимент - создавал сессию, удалял её имя в браузере, снова обновлял - появлялась та же самая с тем же именем. Получается, что PHP считывает что-то вроде mac-адреса.