Cita:
Iniciado por Nemutagk 
........ si un usuario puede navegar sin problemas lo unico que tiene que hacer es duplicar la información que su navegador envia al servidor Y YA ESTA, no tiene que hacer mas, siguiendo tu lógica, el usuario legal tendría que saber como se construye el hash para que tenga una navegación fluida...
Siempre y cuando sepa que información enviarle.... pero igual creo que esto seria un tema de nunca terminar, muchos podemos definir distintos algoritmos para construir el hash y aunque tenga acceso a nuestro id no necesariamente sabrá que información enviarle al servidor como decía ahí depende de la creatividad de cada quien en la forma que los construye, y tienes mucha razón las conexiones https son mejores cuando manejamos información mucho mas delicada, pero como tu pregunta era referente a las sesiones por eso nos hemos enfocado en eso...