#11 fix SASL login failures with non-ASCII passwords

- Normalize SCRAM passwords with RFC 4013 SASLprep before the
  challenge response, so they match SASLprep-compliant servers
  (Martin hashes raw UTF-8) and PLAIN still sends the password
  untouched.
- Capture the raw <failure/> condition with LumaSaslFailureModule and
  map SASL errors to actionable Russian messages instead of the
  cryptic OS-localized "Martin.SaslError, error 5".
- Cover SASLprep and failure message mapping with unit tests and new
  verify.sh invariants.

Docs/SECURITY.md

@@ -7,6 +7,8 @@
 - TLS trust оценивается системным Apple Security framework как сертификат
   сервера (`SecPolicyCreateSSL(true, ...)`) для домена из JID; hostname и цепочка
   доверия обязательны даже при ручном адресе подключения.
+- Пароль для SCRAM нормализуется по RFC 4013 (SASLprep), чтобы совпадать с
+  серверной нормализацией; для PLAIN пароль отправляется как введён.
 - Когда OMEMO включено глобально или для конкретного чата, исходящие сообщения
   не откатываются на plaintext при ошибке: ошибка показывается пользователю.
 - Пользователь может осознанно отключить OMEMO глобально или для отдельного