Em questões de segurança:
Session ganha, pois os cookies são arquivos de textos salvos no computador cliente, logo, podem ser manipulados.
Porém, para evitar manipulações da session, você deve especificar algumas configurações se segurança (para mais informações leia a página do PHP sobre Sessions and security, que ajudarão a prevenir Session Hijacking e Session Fixation:
ini_set('session.gc_maxlifetime', ($timeout * 60)); // tempo máximo da seção em segundos
ini_set('session.use_strict_mode', true); // aceitar apenas sessões criadas pelo módulo session
ini_set('session.use_cookies', true); // usar junto com use_only_cookies
ini_set('session.use_only_cookies', true); // cookies gerados apenas pelo proprio usuário
ini_set('session.cookie_httponly', true); // cookies só acessíveis por HTTP (não JS)
ini_set('session.cookie_secure', true); // cookies só acessíveis por HTTPS
ini_set('session.hash_function', 'sha512'); // criptografa session: dificulta Session Hijacking
ini_set('session.use_trans_sid', false); // suporte a SID transparente desabilitado
ini_set('session.referer_check', 'https://www.seusite.com.br'); // checa o referer
ini_set('session.cache_limiter', 'nocache'); // não fazer cache
session_regenerate_id(); // renova ID da seção
session_start(); // IMPORTANTE: ao final dos comandos acima
O ideal, por questões de segurança, é que utilize HTTPS para tudo, porém, caso você não tenha HTTPS disponível em seu servidor php, terá que setar:
ini_set('session.cookie_secure', false);
Qual usa menos recursos do servidor: Cookies, podem ser manipulados apenas pelo computador do cliente através de Javascript.
Qual o mais rápido: Cookies, pois não precisam realizar requisições ao servidor.
Considerações finais: Utilize SESSION para guardar os dados que forem confidenciais e COOKIES para os demais dados.
NOTA: Já está disponível o recurso storage para JAVASCRIPT, melhor e mais rápido que os cookies.
sessionStorage = dados são LIMPOS quando o browser é fechado
localStorage = dados ficam armazenados por tempo indeterminado
Uso:
sessionStorage.setItem('variavel_temporaria', 'valor da variavel'); // seta valor
var conteudo = sessionStorage.getItem('variavel_temporaria'); // lê valor
localStorage.setItem('variavel_tempo_indeterminado', 'valor da variavel2'); // seta valor
var conteudo2 = localStorage.getItem('variavel_tempo_indeterminado'); // lê valor
Espero ter ajudado!