In poche parole.... il cookie sta sul client, la variabile di sessione sul server.