В спецификации Java EE Servlet описан механизм связывания всех запросов из одного браузера с общим объектом Session. Это основа для отслеживания пользователей. Объект сеанса живет на сервере Tomcat. Tomcat по умолчанию использует куки, отправленные из браузера, чтобы связать каждый запрос HttpServletRequest с объектом Session, созданным для этого сеанса браузера. Для каждого последующего запроса всегда отправляется cookie, что позволяет связать один и тот же сеанс с запросами. По умолчанию этот сеанс длится 30 минут с момента последнего запроса. Каждый запрос обновляет TTL сеанса, поэтому после 30 минут бездействия он может быть восстановлен. Это настраивается. Для каждой вкладки, которую вы открываете в одном и том же браузере, это один и тот же сеанс, потому что куки в браузере связаны с доменом, с которым общается любая из этих вкладок. Таким образом, новые вкладки не будут получать отдельные сессии.