Hola,
Esas variables son enviadas por el navegador en cada peticion a todas las paginas del "dominio". Asi que mientras el navegador piense que debe enviarlas, las enviara.
Mas sobre autentificacion HTTP con PHP en
http://www.php.net/manual/en/features.http-auth.php (en los comentarios de los usuarios seguro que hay trucos para deslogear).
Saludos.