Cookie сеанса создаётся уже после проверки личности, поэтому владельцу украденного файла ни пароль, ни аппаратный ключ не нужны. Смена пароля открытые сеансы не закрывает: завершать их приходится вручную, а в Firefox база cookie шифрование пока не получила