追加されたセッション情報の中身
「ログインできている」ことと「今まさに安全な状態でログインしている」ことは同じではありません。Sign in with Google の今回の更新では、OIDCのauth_timeクレーム(認証が行われた時刻)とamrクレーム(どの手段で認証したか)を使って、多要素認証やハードウェアキー利用の有無まで含めた認証状況をアプリ側が読み取れるようになりました。
重要操作の直前だけ再認証を求める設計
たとえば送金や個人情報の変更のような重要操作の直前に、auth_timeが古ければ再認証を求め、amrにハードウェアキー利用が含まれていなければ追加の確認を挟む、といったリスクベースの制御が組みやすくなります。一律に「N分でセッション切れ」とするより、無駄なログイン要求を減らしながら安全性を保てる設計です。
目新しさより実装の敷居の低さ
auth_timeやamr自体はOpenID Connectの仕様にもともと存在するクレームで、概念自体は目新しいものではありません。今回の意味は、Sign in with Googleがそれを扱いやすい形で提供し始めたことにあります。仕様書を読み込まなくても実装できる敷居の低さこそが、実際の普及を左右しそうです。実装例はGoogle Developers Blogの記事にまとまっています。