Bom dia amigo, SESSION é gerenciada pelo PHP. não há necessidade de criptografar pois os dados da session não ficam disponíveis no navegador.
Contudo aconselho você manter JWT e não utilizar SESSIONS. A SESSION fica amarrada ao IP do cliente e ao servidor, isto atualmente te deixa limitado, por exemplo, se o seu cliente estiver utilizando um celular e ele trocar de rede (3G para wifi ou 3G para 4G) o IP dele irá mudar e com isso perderá a SESSION, e você precisa solicitar novo login pra ele. Outra situação é o seguinte, vamos supor que seu cliente se logou no servidor que está no Brasil porém você precisa redirecioná-lo à outro servidor que está no EUA, neste caso se você estiver usando SESSION o servidor dos EUA não terá acesso aos dados da SESSION, já se você usar o JWT sim.
JWT é mais moderno e surgiu para resolver estes problemas que havia com SESSIONS.
Utilize criptografia forte no JWT, se possível force seu cliente a utilizar HTTPS e não aceite requisições por HTTP, pois de nada adianta você utilizar criptografia forte no JWT se ele puder ser interceptado no HTTP. Caso você precise utilizar HTTP por segurança é melhor realizar validação do IP do seu cliente e utilizar técnicas de fingerprint (https://amiunique.org neste site você pode conhecer sobre fingerprint ).