Насколько я правильно в этом разобрался, происходит все так:
когда ты создаешь HttpSession и запихиваешь туда объект, сам объект хранится где-то локально в JVM и ассоциируется с какой-то переменной ( пусть sessionID ), которая отсылается с исп. механизма cookie в браузер. Причем , я так понимаю, в этой cookie не проставляется Age ( время действия ), за счет чего достигается эффект, когда клиент закрывет браузер, cookie уже не шлются, и соотв. HttpSession считает что это новое соединение. И еще , тот объект, кот. проассоциирован с сессией сам уничтожается по тайм-ауту ( это время можно выставить или переопределить в дескрипторе доставки web.xml, пар-р называется session-config ). У меня напр. по умолчанию это 30 мин. Т.е. получается, что если даже пользователь не закрывал браузера, но не посылал запросы за это время, сессия снимается, хотя cookie от браузера поступают.
И еще, если в браузере cookie запрещены, используется другой способ идентификации - "перезапись URL".

По большому счету, все это можно и самому реализовать это управление сессией, но есть готовое решение и проверенное.

Вроде так.