Infatti SMTP e' "anonimo", l'autenticazione e' stata un'aggiunta posteriore
La RFC di riferimento non la ricordo, credo sia questa:

RFC 2554