Las sessiones se guardan en el servidor .. en el cliente solo se guarda como mucho (dependiendo de la configuracion de tu PHP) el SID (session ID unico) ...y temporalmente.
El formato de las sessiones es un fichero de texto plano con el ID unico como nombre entreo otras cosas ... Para que no puedan "descifrar" tus datos de la session guarda tus datos en ella encriptados con alguna funcion como MD5(), crypt() (ambas de un solo sentido) o con las extensiones de mycrypt() (de ambos sentidos).
Un saludo,