La debolezza di PHP è il fatto di accettare che io richieda una pagina in questo modo:
http://www.mioserver.com/pagina.php?PHP_SESSION=123456
(non mi ricordo se è PHP_SESSION o SESSION_ID o simile..) e da questo momento impostare l'id di sessione a '123456'. In pratica l'id di sessione non è una proprietà READONLY!!!!
Con ASP su IIS ad esempio ciò non è possibile. Onestamente non so se la debolezza sia di Apache o di PHP, cmq non è una questione di HTTP, il fatto che i dati viaggino in chiaro è palese...
Il problema che sottolineavo è il seguente:
io conosco il tuo id di sessione --> io sono te