Google Code Search

Перехватив глобальную куку (т.е. относящуюся ко всему домену) сможете войти под аккаунтом человека на любой (почти) из сервисов. И действовать от его имени до тех пор, пока не истечет срок действия сессии. А он не истечет до тех пор, пока вы будете проявлять активность под этой сессией.

P.S. немножко пространно изначально сформулировал - под "глобальной кукой" имелось ввиду то, что авторизационная кука устанавливается для домена вцелом и может быть прочитана с поддомена в том числе.

а мне показалось, или она привязана к ip адресу? и для дублирования сессии с нового ip надо передать учетную запись?

Полгода назад сессия не привязывалась к ip по умолчанию (эту опцию можно включить). Читай - не привязана у 80 % пользователей.

Не думаю, что что-то изменилось.