Login com Certificado Digital e controle de sessão

Olá,

Estou trabalhando com uma aplicação já implementada, mas sem nenhuma documentação, feita em JSP que tem login por certificado digital que roda no glassfish e acessa o certificado pelo tomcat. Não consegui entender essa rotina. Quando a aplicação loga com usuário e senha, o controle de sessão é perfeito, mas quando loga com certificado o navegador tem salvado alguma preferência com cookie ou cache que, mesmo que o usuário saia da aplicação direitinho, quando ele tenta acessar novamente ele não pede mais o certificado.

Gostaria de resolver o problema, mas talvez reescrever a aplicação de uma forma que eu entenda. Procurei já até por aulas pagas, mas nem isso estou encontrando.

Alguém trabalha com isso e pode me ajudar ou indicar alguém?