Ændring af session fra klientsiden?

Jeg mener at kunne huske at sessions delvist bliver opbevaret på klientens computer, men betyder det, at hvis jeg f.eks laver $_SESSION['accessLevel'] og sætter den til f.eks 1, så vil brugeren kunne ændre denne til et højere tal?
Hvis dette er tilfældet kan jeg selvfølgelig bare give den en krypteret værdi, men det er rart at vide om jeg kan slippe for det besvær.
-mvh. Niels