Березовский...
Со слов заказчика, при входе пользователя с мобильного устройства
при навигации между страницами периодически возникает ситуация, что у пользователя
теряется свой ID, т.е. он оказывается как бы под именем другого пользователя и совершает
какие то действия "как бы от чужого имени".
...

Отсюда три варианта решения, в зависимости от ситуации:
- Если лажа происходит редко и не Бог весть какая секретность - забить.
- Если заказчик настаивает - пусть ловит проблему и демонстрирует, в противном случае объявляем его параноиком и криворуким - лесом.
- Если лажа подтверждается или заказчику ну очень "сильна нада" - вытряхиваем доморощенную авторизацию/аутентификацию и ставим к-либо стандартную "искаропки" - благо есть любые: формс, о-аут, и др.

И вообще, если нет какой либо жуткой необходимости (подразумевает высший класс квалификации разработчиков), то за подобные инсинуации в виде самописной безопасности я бы архитектора прогнал ссаной тряпкой, а "песателям" по пальцам линейкой, линейкой...

БерезовскийДа мне кажется дело тут не в авторизации.
Авторизация на XP, пароли хранятся в Varbinary поле.
Проверка на соответствие функцией pwdcompare, вроде все работает как часы.
По рассказам заказчика, у пользователя во время работы "САМО" меняется (?) значение сессионной переменной
вместо Иванова он становится Петровым.
Я сколько не тыкался- не выхожу на такое поведение программы - Не важно где и как хранятся пароли и пр.
Если проблема существует - то она в логике работы авт/аут. Такие ошибки иногда можно искать неделями.

Роудмеп я вам дал.