Eu também enfrentei essa pergunta na minha entrevista. Eu tenho muitas confusões com o Session Scope & it management em java.

No web.xml, temos a entrada:

<session-config>
        <session-timeout>
            30
        </session-timeout>
</session-config>

O que isso indica realmente? É o escopo de todo o projeto?

Outro ponto que me confunde é como podemos separar o escopo da sessão de várias solicitações no mesmo projeto? Significa que, se estou efetuando login em um PC e, ao mesmo tempo, efetuando login em outro PC, isso o diferencia?

Além disso, outra coisa confusa é a diferença do navegador. Por que os diferentes Gmails podem ser abertos em diferentes navegadores? E o Gmail pode impedir que uma sessão entre Login e Logout. Como é mantido com nossa web pessoal?