Da quanto ho capito facendo alcuni test, lui vede le variabili $_SESSION['username'] e $_SESSION['password'] vuote anche se sono già state settate in precedenza...

cmq ho messo all'inizio session_start();