Li potresti memorizzare nell'oggetto session ma non hai una memorizzazione persistente infatti nel momento in cui scade la sessione sul server perderesti queste informazioni.

Se nell'esercizio ti è richiesto solo questa gestione puoi usare la session se invece hai la necessità di memorizzare le informazioni in maniera persistente e mantenerle nel tempo devi usare un database o un file