Je en me rappelle plus où j'avais lu ça, mais il me semble que l'id de session est basé sur la date heure en prenant en compte les microsecondes. En plus de ça, on peut demander à php de rajouter un grain de sel aléatoire si nécessaire.
Côté algorythme, pour php4, c'est du md5. Pour php5, c'est soit le md5 soit le sha1. (réglable dans le php.ini) Avec php6, si l'extension "hash" est disponible alors tous les algorithmes de cette extensions sont disponibles (choix à indiquer dans le php.ini) sinon c'est comme avec php5.
A noter qu'on peut aussi forcer nous même l'id de chaque session si on le veut mais alors c'est à nous même de vérifier que le risque de collisions des id soient assez faible et qu'il ne soit pas trop facile de découvrir les autres id de sessions actives.
