ele determina pelo id da session...e para usar esse id ele usa cookie, por isso q só de você usar um session_start(), ele já vai saber de quem é a session e tal... faz um teste: pega um sistema de login simples com session e se loga com um usuário, ai você se loga com outro sem fazer o logout do primeiro, isso na mesmo máquina.Você vai ver que mesmo logado com o segundo, os dados que vão aparecer são os do primeiro login...